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Editorial: „Safe harbors”?“ 


Liebe Leserinnen und Leser, 


die vorletzte Ausgabe unserer Datenschutznachrichten stand noch im Zeichen der Maß- 
nahmen, mit denen Grenzbehörden und Innenverwaltungen die Spuren der Hundertau- 
senden, die sich auf der Flucht vor den Kriegen und Wirren im Nahen und Mittleren Ost 
auf den Weg nach Europa gemacht haben, verfolgen wollen. Aus Fußspuren werden 
Datenspuren. Eine Flut von Gesetzgebungsvorhaben mit jeweils umfangreichen daten- 
verarbeitungsrechtlichem Beiwerk ist seitdem über den Deutschen Bundestag und über 
die Betroffenen gerollt. Wer hätte gedacht, dass wir alle das Bild vom sicheren Hafen so 
schnell auf eine andere Bedeutung scharf stellen würden? 


Max Schrems bei der DVD-Datenschutzmatinee 2012 im Europaparlament in Brüssel 


Mit dem Urteil des Europäischen Gerichtshofs vom 06.10.2015 hat der sympathische 
österreichische Aktivist Max Schrems, den wir schon bei einer DVD-Datenschutzma- 
tinee in Brüssel und anlässlich der Verleihung der Big Brother-Awards 2015 zu unseren 
Gästen zählen durften, für einen wahren Urknall im europäischen Datenschutz gesorgt. 
Man fühlt sich fast an die Aufbruchstimmung in Bürgerrechtskreisen erinnert, welche 
die Kaskade datenschutzfreundlicher Entscheidungen des Bundesverfassungsgerichts 
in der zweiten Hälfte des letzten Jahrzehnts erzeugte. Wir widmen diese Ausgabe aus- 
führlich dieser Entscheidung und ihren Folgen und lassen dabei auch unser altes und 
neues Vorstandsmitglied Dr. Thilo Weichert zu Wort kommen. Zu den Änderungen im 
DVD-Vorstand lesen Sie bitte ebenfalls einen Beitrag in diesem Heft. 

Eine anregende Lektüre und selbstverständlich besinnliche Feiertage und einen guten 
Rutsch in ein gesundes, erfolgreiches und gut geschütztes Jahr 2016 wünscht Ihnen, 
Ihren Lieben und Ihren Daten 


Sönke Hilbrans 


Autorinnen und Autoren dieser Ausgabe: 


Werner Hülsmann 


Vorstandsmitglied in der DVD, Mitglied des Beirats des Forum InformatikerInnen für Frieden und 
gesellschaftliche Verantwortung (FIfF) e.V., selbständiger Datenschutzberater, externer Datenschutzbe- 
auftragter und Datenschutzsachverständiger, Ismaning und Berlin, huelsmann@datenschutzverein.de 


Dr. Udo Kauß 


Rechtsanwalt in Freiburg i.B., spezialisiert auf Themen der Inneren Sicherheit und des Datenschutzes. 
Vorsitzender des LV Baden-Württemberg der Humanistischen Union. ra@rechtsanwalt-kauss.de 


Dr. Thilo Weichert 


Ehemaliger Leiter des Unabhängigen Landeszentrums für Datenschutz Schleswig Holstein, Kiel, 
Vorstandsmitgied in der DVD, weichert@datenschutzexpertise.de 


155 


Thilo Weichert 


Klarheit über die Unsicherheit des „sicheren Hafens“ 


Auf dem Weg zu datenschutzkonformen Datenübermittlungen in die USA 


1. Einleitung 


Mit Urteil vom 06.10.2015 entschied 
der Europäische Gerichtshof (EuGH), 
dass die Safe-Harbor-Entscheidung der 
Kommission vom 26.07.2000, wonach 
unter bestimmten festgelegten Voraus- 
setzungen in den Vereinigten Staaten 
von Amerika (USA) ein angemessenes 
Datenschutzniveau zur Übermittlung 
personenbezogener Daten fingiert wird, 
ungültig ist und erklärte damit Safe Har- 
bor für unwirksam! 

Damit entschied der EuGH über eine 
grundlegende, bisher streitige Frage 
des Datenschutzrechts, nämlich die Zu- 
lässigkeit von Datenübermittlung ins 
Drittausland, und legte Maßstäbe fest, 
die bisher weder Unternehmens- noch 
Aufsichtspraxis waren. Das Urteil führt 
dazu, dass europäische wie auch natio- 
nale Exekutiven und Gesetzgeber tätig 
werden müssen. Der vorliegende Bei- 
trag stellt das Urteil sowie die aktuellen 
Reaktionen hierauf dar und zieht rechtli- 
che praktische Schlüsse für die Zukunft. 


2. Rechtliche Grundlagen 


Maßstab der rechtlichen Prüfung 
durch den EuGH waren die europäi- 
schen Grundrechte sowie die europäi- 
sche Datenschutzrichtlinie (EG-DSRI) 
aus dem Jahr 1995. 

In der seit 2009 gültigen Europäi- 
schen Grundrechte-Charta (EuGRCh) 
werden in den Art. 7 und 8 die Achtung 
des Privat- und Familienlebens sowie 
der Schutz personenbezogener Daten 
gewährleistet: Art. 7: „Jeder Mensch hat 
das Recht auf Achtung seines Privat- 
und Familienlebens, seiner Wohnung 
und seiner Kommunikation.“ Art. 8: „(1) 
Jeder Mensch hat das Recht auf Schutz 
der ihn betreffenden personenbezogenen 
Daten. (2) Diese Daten dürfen nur nach 
Treu und Glauben für festgelegte Zwe- 


156 


cke und mit Einwilligung der betroffe- 
nen Person oder auf einer sonstigen ge- 
setzlich geregelten legitimen Grundlage 
verarbeitet werden. Jeder Mensch hat 
das Recht, Auskunft über die ihn betref- 
fenden erhobenen Daten zu erhalten und 
die Berichtigung der Daten zu bewirken. 
(3) Die Einhaltung dieser Vorschriften 
wird von einer unabhängigen Stelle 
überwacht.“ Weiterhin garantiert Art. 
47 EuGRCh einen Anspruch auf wirk- 
samen Rechtsbehelf und ein unparteii- 
sches Gericht: „(1) Jede Person, deren 
durch das Recht der Union garantierte 
Rechte oder Freiheiten verletzt worden 
sind, hat das Recht, nach Maßgabe der 
in diesem Artikel vorgesehenen Bedin- 
gungen bei einem Gericht einen wirksa- 
men Rechtsbehelf einzulegen. (2) Jede 
Person hat ein Recht darauf, dass ihre 
Sache von einem unabhängigen, unpar- 
teiischen und zuvor durch Gesetz errich- 
teten Gericht in einem fairen Verfahren, 
öffentlich und innerhalb angemessener 
Frist verhandelt wird. Jede Person kann 
sich beraten, verteidigen und vertreten 
lassen.“ 

In der europäischen Datenschutzricht- 
linie (EG-DSRI) wird festgelegt, dass 
die Übermittlung personenbezogener 
Daten in ein Drittland, also in ein Land 
außerhalb der Europäischen Union (EU) 
oder des europäischen Wirtschafts- 
raums, grundsätzlich nur dann zulässig 
ist, wenn dort ein angemessenes Da- 
tenschutzniveau gewährleistet ist. Ge- 
mäß Arr. 25 Abs. 6 EG-DSRl darf die 
Kommission feststellen, dass ein Dritt- 
land aufgrund seiner innerstaatlichen 
Rechtsvorschriften oder internationa- 
ler Verpflichtungen ein angemessenes 
Schutzniveau gewährleistet. Weiterhin 
sieht die EG-DSRl in Art. 28 Abs. 1 vor, 
dass jeder EU-Mitgliedstaat eine oder 
mehrere öffentliche Stellen benennt, 
die in seinem Hoheitsgebiet mit der 
Überwachung der Anwendung der zur 


Umsetzung der Richtlinie erlassenen 
nationalen Vorschriften beauftragt sind 
(„Datenschutzbehörden‘““). 


3. Der Sachverhalt 


Der Kläger, der Österreicher Max 
Schrems. nutzt seit 2008 Facebook. Wie 
bei allen anderen in der Union wohn- 
haften Nutzern von Facebook werden 
seine Daten von der irischen Tochter- 
gesellschaft von Facebook ganz oder 
teilweise an Server, die sich in den USA 
befinden, übermittelt und dort verarbei- 
tet. Schrems legte bei der irischen Da- 
tenschutzbehörde wegen der Verarbei- 
tung seiner Daten bei Facebook meh- 
rere Beschwerden ein. Nach den Ent- 
hüllungen Edward Snowdens über die 
u. a. vom US-Geheimdienst National 
Security Agency (NSA) durchgeführ- 
ten Überwachungs- und Kontrollakti- 
vitäten im Internet, die auch Facebook 
erfassen, erweiterte Schrems seine Be- 
schwerde und vertrat die Ansicht, dass 
das Recht und die Praxis in den USA 
keinen ausreichenden Schutz der in 
dieses Land übermittelten Daten vor 
Überwachungstätigkeiten der dortigen 
Behörden bieten. Die irische Behörde 
wies die Beschwerde insbesondere mit 
der Begründung zurück, die Kommis- 
sion habe in ihrer Entscheidung vom 
26.07.2000 festgestellt, dass im Rah- 
men der sogenannten „Safe-Harbor- 
Regelung“ ein angemessenes Daten- 
schutzniveau für die übermittelten Da- 
ten gewährleistet sei.’ Der auf die Klage 
von Schrems hiermit befasste Irish High 
Court hinterfragte die Wirksamkeit der 
Safe-Harbor-Regelung. Er machte eine 
Vorlage beim EuGH und wollte wissen, 
ob die Safe-Harbor-Entscheidung der 
EU-Kommission eine nationale Daten- 
schutzbehörde daran hindert, eine Be- 
schwerde zu prüfen, mit der geltend ge- 
macht wird, dass ein Drittland kein an- 
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gemessenes Schutzniveau gewährleiste, 
und gegebenenfalls die angefochtene 
Datenübermittlung auszusetzen. Die 
Safe-Harbor-Regelung enthält eine Rei- 
he von Grundsätzen über den Schutz 
personenbezogener Daten, denen sich 
amerikanische Unternehmen im Rah- 
men einer Selbstzertifizierung freiwillig 
unterwerfen können. 


4. Das Urteil 


Zuständiger Berichterstatter beim 
EuGH war der deutsche Richter Tho- 
mas von Danwitz. In seinem Urteil 
führt das Gericht, das als große Kam- 
mer entschied, aus, dass die Existenz 
einer Entscheidung der Kommission, 
in der festgestellt wird, dass ein Dritt- 
land ein angemessenes Schutzniveau für 
übermittelte personenbezogene Daten 
gewährleistet, die Befugnisse der nati- 
onalen Datenschutzbehörden aufgrund 
des Art. 8 EuGRCh weder beseitigen 
noch auch nur beschränken kann. Ent- 
sprechendes gelte für die den Art. 8 
konkretisierende EG-DSRI. Der EuGH 
stellt fest, dass keine Bestimmung der 
EG-DSRI die nationalen Datenschutz- 
behörden an der Kontrolle der Über- 
mittlungen personenbezogener Daten 
in Drittländer hindert, die Gegenstand 
einer Entscheidung der Kommission ist. 
Auch bei Vorliegen einer solchen EU- 
Kommissions-Entscheidung müssen die 
nationalen Datenschutzbehörden, wenn 
sie mit einer Beschwerde befasst wer- 
den, in völliger Unabhängigkeit prüfen 
können, ob bei der Übermittlung der 
Daten einer Person in ein Drittland die 
in der EG-DSRl aufgestellten Anforde- 
rungen gewahrt werden. 

Der EuGH weist jedoch darauf hin, 
dass er allein befugt ist, die Ungültigkeit 
eines Unionsrechtsakts wie einer Kom- 
missions-Entscheidung festzustellen. Ist 
eine nationale Behörde oder die Person, 
die sie angerufen hat, der Auffassung, 
dass eine Entscheidung der Kommissi- 
on ungültig ist, muss diese Behörde oder 
diese Person folglich die nationalen Ge- 
richte anrufen können, damit diese, falls 
sie ebenfalls Zweifel an der Gültigkeit 
der Entscheidung der Kommission ha- 
ben, die Sache dem Gerichtshof vorle- 
gen können. Der EuGH hat letztlich da- 
rüber zu befinden, ob eine Entscheidung 
der Kommission gültig ist. 
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Der EuGH prüfte zudem die Gültig- 
keit der Kommissions-Entscheidung 
zu Safe Harbor. Er stellte fest, dass die 
Kommission hätte feststellen müssen, 
dass die USA aufgrund ihrer innerstaat- 
lichen Rechtsvorschriften oder interna- 
tionaler Verpflichtungen tatsächlich ein 
Schutzniveau der Grundrechte gewähr- 
leisten, das dem in der Europäischen 
Union (EU) aufgrund der Richtlinie im 
Licht der Charta garantierten Niveau der 
Sache nach gleichwertig ist. Eine sol- 
che Feststellung hatte die Kommission 
nicht getroffen. Sie beschränkte sich da- 
mals darauf, die Safe-Harbor-Regelung 
positiv zu bewerten. Der EuGH prüfte 
nicht, ob diese Regelung ein Schutzni- 
veau gewährleistet, das dem in der Uni- 
on garantierten Niveau der Sache nach 
gleichwertig ist. Er stellte vielmehr fest, 
dass sie nur für die amerikanischen Un- 
ternehmen gilt, die sich ihr unterwerfen, 
nicht aber für die Behörden der USA. 
Die US-Gesetze geben den Erforder- 
nissen der nationalen Sicherheit, des 
öffentlichen Interesses Vorrang vor der 
Safe-Harbor-Regelung. US-Unterneh- 
men sind deshalb ohne jede Einschrän- 
kung verpflichtet, die in dieser Regelung 
vorgesehenen Schutzregeln unangewen- 
det zu lassen, wenn sie in Widerstreit zu 
solchen Erfordernissen stehen. 

Die amerikanische Safe-Harbor-Re- 
gelung ermöglicht daher Eingriffe der 
amerikanischen Behörden in die Grund- 
rechte der von Datenübermittlungen be- 
troffenen Personen, ohne dass es in den 
USA Regeln gibt, die dazu dienen, etwa- 
ige Eingriffe zu begrenzen noch einen 
wirksamen gerichtlichen Rechtsschutz 
gegen solche Eingriffe zu gewähren. 
Der EuGH sah sich bei der Analyse der 
Regelung durch zwei Mitteilungen der 
Kommission bestätigt, aus denen u. a. 
hervorgeht, dass die amerikanischen 
Behörden auf die aus den Mitgliedstaa- 
ten in die USA übermittelten personen- 
bezogenen Daten zugreifen und sie in 
einer Weise verarbeiten konnten, die 
namentlich mit den Zielsetzungen ihrer 
Übermittlung unvereinbar war und über 
das hinausging, was nach Ansicht der 
Kommission zum Schutz der nationalen 
Sicherheit absolut notwendig und ver- 
hältnismäßig gewesen wäre.* Desglei- 
chen stellte die Kommission fest, dass 
es für die Betroffenen keine administra- 
tiven oder gerichtlichen Rechtsbehelfe 


gibt, die es diesen erlaubten, zu den sie 
betreffenden Daten Zugang zu erhalten 
und gegebenenfalls deren Berichtigung 
oder Löschung zu erwirken. 

Der EuGH stellte fest, dass nach dem 
Unionsrecht eine Regelung nicht auf 
das absolut Notwendige beschränkt ist, 
wenn sie generell die Speicherung der 
personenbezogenen Daten sämtlicher 
Personen, deren Daten aus der Union in 
die USA übermittelt werden, gestattet, 
ohne dass irgendeine Differenzierung, 
Einschränkung oder Ausnahme vorge- 
nommen wird. Es fehlt an Regelungen 
zu den verfolgten Zielen und zu ob- 
jektiven Kriterien, die es ermöglichen 
würden, den Zugang zu den Daten und 
deren spätere Nutzung zu beschränken. 
Eine Regelung, die es den Behörden 
gestattet, generell auf den Inhalt elekt- 
ronischer Kommunikation zuzugreifen, 
verletze den Wesensgehalt des Grund- 
rechts auf Achtung des Privatlebens. 
Verletzt sei außerdem der Wesensge- 
halt des Grundrechts auf wirksamen 
gerichtlichen Rechtsschutz, da für die 
Betroffenen keine Möglichkeit eröffnet 
ist, mittels Rechtsbehelf Zugang zu den 
sie betreffenden Daten zu erlangen oder 
ihre Berichtigung oder Löschung zu 
erwirken. Eine solche Möglichkeit sei 
dem Wesen eines Rechtsstaats inhärent. 

Schließlich stellte der EuGH fest, 
dass die Kommissions-Entscheidung 
zu Safe Harbor den nationalen Daten- 
schutzbehörden die Befugnis entzieht, 
auf Beschwerde eines Betroffenen hin 
die Vereinbarkeit der Entscheidung mit 
dem Schutz der Privatsphäre sowie der 
Freiheiten und Grundrechte in Frage 
zu stellen. Gemäß dem EuGH hatte die 
Kommission keine Kompetenz, die Be- 
fugnisse der nationalen Datenschutzbe- 
hörden in dieser Weise zu beschränken. 

Aus den vorgenannten Gründen 
erklärte der EuGH die Safe-Harbor- 
Entscheidung für ungültig. Dies hat 
zur Folge hat, dass die irische Daten- 
schutzbehörde die Beschwerde von Max 
Schrems mit aller gebotenen Sorgfalt 
prüfen und am Ende der Untersuchung 
entscheiden muss, ob nach der EG-DS- 
RI die Übermittlung der Daten europä- 
ischer Facebook-Nutzender in die USA 
auszusetzen ist, weil dort kein angemes- 
senes Schutzniveau für personenbezo- 
gene Daten besteht. Es sei nun Sache 
der Datenschutzbehörden, über weitere 
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Schritte zu entscheiden. Für künftige 
Datenschutzabkommen behielt sich der 
EuGH eine strikte Kontrolle vor. 


5. Erste Reaktionen 


Die Bundesbeauftragte für den Da- 
tenschutz und die Informationsfreiheit 
(BfDI) Andrea Voßhoff sah in dem Ur- 
teil eine erhebliche Stärkung der Da- 
tenschutzbehörden. Der in Deutschland 
für Facebook zuständige Hamburgische 
Datenschutzbeauftragte meinte, die Kri- 
tik des EuGH sei so fundamental, dass 
ein Stopp der Datenflusses in Betracht 
kommt, und: „Das ist eine späte Genug- 
tuung für Edward Snowden.“ Der Ver- 
handlungsführer des EU-Parlaments für 
die Europäische Datenschutz-Grundver- 
ordnung (EU-DSGVO), der Abgeordne- 
te Jan Philipp Albrecht (Grüne) forderte, 
den Transfer zu unterbinden. 

Vertreter der deutschen Wirtschaft 
verwiesen dagegen auf die laufenden 
Verhandlungen zwischen dem US-Han- 
delsministerium und der EU-Kommissi- 
on über eine Reform von Safe Harbor. 
So warnte Markus Kerber, Geschäfts- 
führer des Bundesverbands der Deut- 
schen Industrie (BDN): „Die USA sind 
Europas wichtigster Handelspartner. 
Ein Abbruch des Datenaustauschs wäre 
ein Paukenschlag“.’ In einem offenen 
Brandbrief an EU-Kommissionsprä- 
sident Jean-Claude Juncker forderten 
mehrere Wirtschaftsverbände gemein- 
sam eine „harmonisierte Umsetzung“ 
des Urteils und eine „ausreichende 
Übergangsperiode“ für Unternehmen, 
sich den neuen Anforderungen anzupas- 
sen.‘ 

Facebook, das den Anlass für das Ur- 
teil gegeben hatte, erklärte umgehend, 
von diesem nicht betroffen zu sein, da 
man sich „‚wie tausende europäischer Un- 
ternehmen“ auf weitere Möglichkeiten 
nach dem europäischen Recht verlasse, 
um „unabhängig von Safe Harbor“ legal 
Daten von Europa in die USA zu über- 
mitteln. Man könne zudem beim Regist- 
rierungsprozess vom Nutzer dessen Ein- 
verständnis einholen, womit die Über- 
mittlung in die USA legitimiert werde. 

Erstaunlich waren die Reaktionen aus 
der EU-Kommission. Der erste Vizeprä- 
sident der Kommission Frans Timmer- 
mans erklärte, er sehe im Urteil eine 
„Bestätigung für das Bestreben, den 'si- 
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cheren Hafen’ neu zu verhandeln“. Die 
Justizkommissarin Vera Jourova ergänz- 
te, man habe seit 2013 „unnachgiebig“ 
mit den USA an der Reform gearbeitet. 
Es seien „wichtige Fortschritte“ erzielt 
worden, „auf denen wir im Lichte des 
Urteils aufbauen können“. Bis ein neuer 
„sicherer Hafen‘ entsteht, könnten die 
transatlantischen Datenflüsse anhand 
der anderen rechtlichen Mechanismen, 
so Timmermans und Jourovä, ungehin- 
dert weitergehen. Davon ging auch die 
luxemburgische Präsidentschaft in ih- 
rem Statement aus. Der für das Digita- 
le zuständige EU-Kommissar Günther 
Oettinger erklärte, dass das Urteil auch 
Anlass zur Selbstkritik sei: „Wir haben 
die Praxis in den USA jahrelang nicht 
konsequent genug beobachtet. ... Wir 
müssen sehen, inwieweit sich unsere 
amerikanischen Partner auf unser Da- 
tenschutzniveau einlassen. Da treffen 
unterschiedliche Sichtweisen aufein- 
ander. Ich warne davor, dass wir mit 
übertriebenen Erwartungen in die Ver- 
handlungen gehen — und dann gar nichts 
erreichen. ... Mich wundert immer wie- 
der, dass wir Deutschen sehr sensibel 
sind, was den Datenschutz im Allgemei- 
nen angeht“. 

Das EU-Parlament (EP) hatte Anfang 
2014 gefordert, Safe Harbor zu überprü- 
fen. Nach dem Urteil forderte der Vor- 
sitzende des EP-Innenausschusses, der 
britische Labour-Abgeordnete Claude 
Moraes, „einen starken Rahmen für die 
Weitergabe personenbezogener Infor- 
mationen“ mit „soliden durchsetzbaren 
Datenschutzrechten und einer effektiven 
unabhängigen Aufsicht“.’ 

In den USA wurde das EuGH-Urteil 
heruntergespielt. Juristen und Unter- 
nehmensvertreter meinten, die meisten 
großen Unternehmen könnten ihre Spei- 
cherung von Daten über Europäer in den 
USA auf der Basis anderer Regelungen, 
die vom EuGH nicht aufgehoben wur- 
den, fortsetzen. Verwiesen wurde u. a. 
auf von der EU-Kommission anerkann- 
te Standardvertragsklauseln. Außerdem 
wurde darauf hingewiesen, dass auch 
nach nationalen Sicherheitsgesetzen in 
Europa z. B. die Befugnis bestehe, zum 
Zweck der Terrorismusbekämpfung den 
vollständigen Internetverkehr zu scan- 
nen, wodurch ebenso massiv wie in den 
USA in den Datenschutz eingegriffen 
werde.® 


Eine erste gerichtliche Reaktion be- 
stand darin, dass der Irish High Court, 
der dem EuGH das Safe-Harbor-Thema 
vorgelegt hatte, am 20.10.2015 gegen- 
über dem Irischen Datenschutzbeauf- 
tragten anordnete, Ermittlungen wegen 
der Geschäftspraktiken von Facebook 
aufzunehmen. Der Rechtsanwalt Face- 
books kündigte eine „konstruktive Mit- 
arbeit‘ bei den Untersuchungen an. Der 
Irische Datenschutzbeauftragte kündigte 
an, die Schrems-Beschwerde nun „mit 
aller angemessenen Sorgfalt“ zu prüfen.’ 
Bei den deutschen Datenschutzbehörden 
gingen nach dem EuGH-Urteil täglich 
Beschwerden wegen Safe Harbor ein. 


6. Behördliche Stellungnahmen 


Die vom EuGH in die Pflicht ge- 
stellten Aufsichtsbehörden reagierten 
schnell: 


6.1 Unabhängiges Landeszentrum 
für Datenschutz (ULD) 


Als erste Aufsichtsbehörde äußerte 
sich umfassend das Unabhängige Lan- 
deszentrum für Datenschutz Schleswig- 
Holstein (ULD) mit einem Positionspa- 
pier, in dem die Handlungsmöglichkei- 
ten, genauer die Handlungspflichten von 
EU-Kommission und USA-Gesetzge- 
ber, festgehalten werden: Die EU-Kom- 
mission müsse ein effektives angemes- 
senes Datenschutzniveau von den USA 
fordern, wenn weiterhin ein umfassen- 
der Datenaustausch praktiziert werden 
soll. Letztlich sei eine umfassende Än- 
derung des US-amerikanischen Rechts 
nötig. Auf der Grundlage einer Einwil- 
ligung könne eine Übermittlung in die 
USA nicht mehr erfolgen; denkbar sei 
nur die Übermittlung im Rahmen von 
Vertragsbeziehungen. Standardverträge 
seien zu kündigen; die darauf basieren- 
den Datenübermittlungen seien auszu- 
setzen. Das ULD wies auf seine Befug- 
nisse hin, per verwaltungsgerichtlicher 
Anordnung Datenübermittlungen in 
die USA zu verbieten oder auszusetzen 
bzw. Bußgelder zu verhängen.'’ Wäh- 
rend sich der Kläger Max Schrems in ei- 
ner eigenen Stellungnahme weitgehend 
inhaltlich der Analyse des ULD an- 
schloss,'' meinte die IT-Rechtsanwältin 
Nina Diercks hierzu: „Es ist Wahnsinn, 
einfach nur Wahnsinn“. '? 
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6.2 Art-29-Arbeitsgruppe 


Am 15.10.2015 gab die Artikel-29- 
Arbeitsgruppe ihr erstes Statement ab. 
Sie wies darauf hin, dass sie wiederholt 
auf die Rechtswidrigkeit der massen- 
haften und willkürlichen Überwachung 
hingewiesen habe und forderte die EU- 
Mitgliedstaaten und die europäischen 
Institutionen auf, „offene Gespräche 
mit den US-amerikanischen Behörden 
zu führen, um politische, rechtliche und 
technische Lösungen zu finden“, damit 
die Grundrechte bei Übermittlungen in 
die USA gewahrt werden. Die aktuel- 
len Verhandlungen für ein neues „Safe 
Harbor“ wurden verworfen. Es bedürfe 
verbindlicher Mechanismen „in Bezug 
auf die nötige Kontrolle des staatlichen 
Zugriffs, Transparenz, Verhältnismäßig- 
keit, Rechtsmittel und Datenschutzrech- 
te.“ Die Überprüfung von Standardver- 
tragsklauseln und Binding Corporate 
Rules (BCRs) wurde angekündigt. 
Sollte bis Ende Januar 2016 keine Lö- 
sung „in Zusammenarbeit mit den US- 
Behörden“ gefunden sein, seien die 
EU-Datenschutzbehörden verpflichtet, 
„alle notwendigen und angemessenen 
Maßnahmen zu ergreifen, einschließlich 
koordinierter Durchsetzungsmaßnah- 
men‘. 


6.3 Konferenz der deutschen Da- 
tenschutzbeauftragten 


Am 26.10.2015 folgte ein Positions- 
papier der deutschen Konferenz der 
Datenschutzbeauftragten des Bundes 
und der Länder. Dieses schließt sich in 
vieler Hinsicht der Artikel-29-Arbeits- 
gruppe an. „Soweit Datenschutzbehör- 
den Kenntnis über ausschließlich auf 
Safe Harbor gestützte Datenübermitt- 
lungen in die USA erhalten, werden sie 
diese untersagen.“ Die Unternehmen 
werden aufgefordert, „unverzüglich 
ihre Verfahren zum Datentransfer da- 
tenschutzgerecht zu gestalten“. Anders 
als das ULD meint die Konferenz, kä- 
men Einwilligungen „unter engen Be- 
dingungen“ als tragfähige Grundlage in 
Betracht. Schließlich forderte die Kon- 
ferenz Kommission, Rat und Parlament 
der EU auf, in den laufenden Trilog-Ver- 
handlungen dem EuGH-Urteil zu genü- 
gen.'* In Reaktion hierauf erklärte der 
Industrieverband DigitalEurope, an dem 
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Google, Apple, IBM und Nokia beteiligt 
sind, dass allein diese Stellungnahme 
schon zu einer unnötigen Wettbewerbs- 
verunsicherung führen werde. '’ 


6.4 EU-Kommission 


Mit Datum vom 06.11.2015 äußerte 
sich die EU-Kommission erstmals mit 
einem offiziellen Dokument. Sie weist 
darauf hin, dass sie seit Januar 2014 da- 
ran arbeitet, auf der Grundlage von 13 
Empfehlungen'‘ —Datenübertragungen 
für EU-Bürger sicherer zu machen. Nach 
dem EuGH-Urteil habe sie die Verhand- 
lungen mit den USA intensiviert. Ziel 
der Kommission sei es, die Gespräche 
innerhalb von drei Monaten abzuschlie- 
ßen. In der Zwischenzeit müssten Un- 
ternehmen das Urteil befolgen und nach 
Möglichkeit auf alternative Datenüber- 
mittlungsinstrumente zurückgreifen. In 
den Leitlinien für die „Übergangszeit 
bis zur Annahme eines neuen Rechts- 
rahmens“ hebt die Kommission her- 
vor, dass das Safe-Harbor-Abkommen 
nicht mehr als Rechtsgrundlage für die 
Übermittlung personenbezogener Da- 
ten in die USA dienen kann. Bei ihren 
Verhandlungen mit den USA müsse die 
Kommission insbesondere erreichen, 
dass „in Bezug auf die Beschränkungen 
und Garantien bezüglich des Zugriffs 
auf personenbezogene Daten durch die 
US-amerikanischen Behörden“ den 
EuGH-Anforderungen genügt wird. Da- 
rüber hinaus müssten weitere Angemes- 
senheitsbeschlüsse geändert werden. 

In der Mitteilung werden alternati- 
ve Grundlagen für die Übermittlung 
personenbezogener Daten in die USA 
dargelegt, ohne der Unabhängigkeit 
und den Befugnissen der Datenschutz- 
behörden der Mitgliedstaaten bei der 
Rechtmäßigkeitskontrolle vorgreifen zu 
wollen. Datenübertragungen von Unter- 
nehmen könnten derzeit auf folgenden 
Grundlagen erfolgen: vertragliche Re- 
geln, Binding Corporate Rules sowie 
die Ausnahmeregelungen nach Art. 26 
Abs. 1 EG-DSRl. Am 15.10.2015 hatten 
sich EU-Vizepräsident Ansip sowie die 
Kommissionsmitglieder Oettinger und 
Jourovä mit Vertretern der Unternehmen 
und der Industrie getroffen, wobei letz- 
tere eine klare und einheitliche Ausle- 
gung des Urteils und mehr Klarheit über 
die ihnen für Datenübermittlungen zur 


Verfügung stehenden Instrumente ge- 
fordert hatten.'’ 


7. Einstufung 
7.1 Der EuGH als Vorreiter 


Nachdem sich der EuGH lange Zeit in 
Fragen des Datenschutzes eher zurück- 
gehalten hatte, schärfte das oberste eu- 
ropäische Gericht in den letzten 18 Mo- 
naten sein Profil massiv. Ähnliche Pau- 
kenschlag-Entscheidungen waren das 
Urteil zum „Recht auf Vergessen“ bei 
der Google-Suche'® sowie die Ungültig- 
keitserklärung der EU-Richtlinie über 
die Vorratsspeicherung von Telekom- 
munikationsverkehrsdaten.'” Damit pro- 
filierte sich der EuGH als Konkurrenz 
und zugleich als Partner des deutschen 
Bundesverfassungsgerichts (BVerfG), 
das hinsichtlich der Präzisierung des 
Grundrechtes auf Datenschutzes bisher 
meinungsführend war. Die Rechtspre- 
chung des EuGH gleicht teilweise bis 
in die Wortwahl hinein der des BVerfG, 
aber mit der Besonderheit, dass die Aus- 
sagen nun europaweit gelten. 


7.2 Das lange Leiden mit 
Safe Harbor 


Safe Harbor war von Anfang an ein 
politischer Kuhhandel ohne grundrecht- 
liche Basis. Es ging darum, trotz des eu- 
ropäischen digitalen Grundrechtsschut- 
zes, der keine Entsprechung in den USA 
findet, den transatlantischen Datenaus- 
tausch aufrecht zu erhalten. Angesichts 
der großen Bedeutung der informatio- 
nellen Verflechtung zwischen den Infor- 
mationswirtschaften von USA und EU 
sollten dem ungehinderten Profitstreben 
beim personenbezogenen Datenverkehr 
keine grundrechtlichen Hindernisse in 
den Weg gelegt werden. 

Die Einhaltung von Safe Harbor war 
zunächst kein für die Öffentlichkeit rele- 
vantes Datenschutzthema. Dies änderte 
sich 2008 zumindest für die Fachöffent- 
lichkeit, als Chris Connolly in seiner 
Galexia-Studie feststellte, dass selbst die 
laxen Safe-Harbor-Regeln von vielen 
US-Unternehmen missachtet wurden.” 
Ein Vollzug durch die US-Aufsichts- 
behörde, die Federal Trade Commis- 
sion (FTC) fand de facto insbesondere 
bei großen IT-Unternehmen nicht statt. 
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Trotz massiver Kritik der deutschen Da- 
tenschutzbehörden änderte sich hieran 
nichts grundlegend.” So blieb z. B. eine 
Beschwerde des Unabhängigen Landes- 
zentrums für Datenschutz Schleswig- 
Holstein (ULD) wegen der Missachtung 
von Safe Harbor durch Facebook ein- 
fach unbeantwortet.” 

Zum Zeitpunkt der EuGH-Entschei- 
dung nahmen rund 4.400 Unternehmen 
die Erleichterungen von Safe Harbor in 
Anspruch, darunter sämtliche großen 
US-IT-Unternehmen: Google, Face- 
book, Microsoft, Amazon, Salesforce... 
Es scheint so, dass es diese Firmen sind 
bzw. waren, die Safe Harbor als eine 
mehr oder weniger lästige Pflicht abge- 
arbeitet haben. Diesen gegenüber hatte 
sich — zumindest in Fragen von Safe 
Harbor — die US-amerikanische Auf- 
sichtsbehörde auch als äußerst konzi- 
liant erwiesen. Dem gegenüber sollen 
kleinere US-amerikanische Datenim- 
porteure die Pflichten von Safe Harbor 
in größerem Maße ernst genommen ha- 
ben. 

Das EuGH-Urteil kam also nicht 
überraschend. Die von Unternehmen 
vergossenen Krokodilstränen entwi- 
chen Reptilien, die sich jahrelang unter 
Missachtung der datenschutzrechtlichen 
Regeln den Bauch vollgehauen haben. 
Nachdem sich schon die EU-Kommis- 
sion kritisch zu Safe Harbor geäußert 
und das Votum des Generalanwalts im 
EuGH-Verfahren an Safe Harbor nichts 
Gutes gelassen hatte, war nur noch frag- 
lich, wie deutlich und mit welcher Be- 
gründung der EuGH Safe Harbor ver- 
werfen würde. Der EuGH hat sich in sei- 
ner Begründung im Umfang beschränkt, 
aber die wesentlichen Knackpunkte mit 
einer kaum zu übertreffenden Klarheit 
herausgearbeitet. 

Zum Zeitpunkt des EuGH-Urteils ver- 
handelte die EU-Kommission mit den 
USA seit zwei Jahren über eine Neure- 
gelung von Safe Harbor. Die geheimen 
Gespräche sollen kurz vor einem Ab- 
schluss gestanden haben, wobei — so- 
weit dies bekannt ist — bisher nur eher 
kosmetische Korrekturen konsentiert 
waren. Diese dürften in vieler Hinsicht 
den geleakten Vereinbarungen zu einem 
Umbrella-Abkommen für Datenüber- 
mittlungen zum Zweck der Strafverfol- 
gung entsprochen haben (s. u. 9.2). Das 
US-Außenministerium hatte noch kurz 
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vor dem EuGH-Urteilsspruch beteu- 
ert, das NSA-Überwachungsprogramm 
Prism richte sich gegen „konkrete zu- 
lässige Ziele“. Ein Aus von Safe Har- 
bor würde dem Schutz der Bürgerrechte 
„erheblichen Schaden“ zufügen und den 
„freien Fluss von Informationen verhin- 
dern.” 


8. Konsequenzen 


Den Stellungnahmen der Aufsichtsbe- 
hörden zu den Folgewirkungen ist zu- 
zustimmen: Mit dem Urteil ist ab sofort 
die Rechtfertigung von Datentransfers 
in die USA per Safe Harbor nicht mehr 
möglich. Interessanterweise bleibt Safe 
Harbor als Selbstverpflichtung nach 
US-amerikanischem Recht dort weiter 
wirksam. 

Die Ausführungen des EuGH gelten 
nicht nur für Safe Harbor, sondern um- 
fassend auch für Standardvertragsklau- 
seln, Binding Corporate Rules (BCRs) 
sowie für die Datenweitergabe öffent- 
licher Stellen, etwa bei Übermittlungen 
für Zwecke der Terrorismusbekämpfung 
und für andere Zwecke der öffentlichen 
Sicherheit und der Strafverfolgung. 


8.1 Standardvertragsklauseln 


Die Urteilsgründe sind insofern un- 
missverständlich, dass die aktuellen 
Standardvertragsklauseln keine rechtli- 
che Basis mehr haben. Wie die Daten- 
schutzaufsichtsbehörden richtig fest- 
stellten, beschränkt sich die Wirkung 
des EuGH-Urteils nicht auf Safe Har- 
bor. Unternehmensanwälte und sogar 
die EU-Kommission gaben den Rat- 
schlag, auf dieses Instrument nunmehr 
auszuweichen. Dies wurde von vielen 
Unternehmen dann auch tatsächlich 
umgehend umgesetzt. Um diese nicht 
in falscher Sicherheit zu wiegen, sollte 
die EU-Kommission — statt Nebelker- 
zen abzubrennen — ihre Beschlüsse zu 
den Standarvertragsklauseln umgehend 
aufheben und durch neue Regelwerke 
ersetzen (s. u. 8.9). 


8.2 Europäische Datenverarbeitung 


Die wirksamste und für die Unter- 
nehmen wie für die Betroffenen si- 
cherste Reaktion auf das Urteil ist es, 
dass die verantwortlichen Stellen ihre 


bisher in den USA erfolgende Da- 
tenverarbeitung nach Europa holen. 
Dann besteht ein geringeres Risiko 
der Massenüberwachung ohne Rechts- 
schutzmöglichkeiten für die Betroffe- 
nen. Dies gilt auch für Konzerne und 
Unternehmensgruppen mit Teilen in 
den USA. US-Behörden können zwar 
über den Patriot Act, den Foreign In- 
telligence Surveillance Act (FISA) wie 
über weitere US-rechtliche Instrumente 
in Europa gespeicherte Daten einfor- 
dern.”* Hiergegen können sich die Un- 
ternehmen aber tatsächlich und recht- 
lich zur Wehr setzen, so wie dies — bis- 
her ohne Erfolg — Microsoft in einem 
konkreten Fall versucht.” Werden mit 
den USA verflochtene Unternehmen in 
eine Datenverarbeitung einbezogen, so 
sollte in den entsprechenden Verträgen 
verpflichtend eine Information über 
entsprechende Herausgabeforderungen 
vorgesehen werden, die auch an die 
eigenen Aufsichtsbehörden und die Be- 
troffenen weitergegeben werden kann. 
Dies steht zwar regelmäßig im Wider- 
spruch zu US-Recht. Derartige Kon- 
flikte zwischen verschiedenen Pflichten 
aus verschiedenen Rechtskreisen sind 
nichts Ungewöhnliches — gerade für 
international tätige Unternehmen. Über 
das mit diesen Konflikten verbundene 
Risiko sollten sich die beteiligten Stel- 
len bewusst sein. 


8.3 Massenüberwachung 
auch in Europa 


Eine interessante Frage ist, inwieweit 
das EuGH-Urteil Übermittlungen in 
das United Kingdom (UK) ausschließt, 
wo — wie in den USA - durch den bri- 
tischen Geheimdienst GCHQ anlasslo- 
se Massenüberwachungsmaßnahmen 
praktiziert werden. Inzwischen wissen 
wir, dass derartige Maßnahmen nicht 
nur von Diensten im UK durchgeführt 
werden, sondern auch vom deutschen 
Bundesnachrichtendienst sowie anderen 
europäischen Diensten. In Frankreich 
sollen derartige flächendeckende Über- 
wachungsmaßnahmen gerade per Ge- 
setz legalisiert werden.” 

Bei einer Verarbeitung innerhalb der 
EU ist die Rechtslage zumindest inso- 
fern klar: Wegen des normativ gewähr- 
leisteten Datenschutzniveaus im Emp- 
fängerland darf — dem europäischen 
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Binnenmarkt und der europäischen Da- 
tenschutzrichtlinie (EG-DSR]) sei Dank 
— keine Datentransfer verweigert wer- 
den. Im Konfliktfall kann — u. a. unter 
Berufung auf Art. 7, 8 und 47 EuGRCh 
— Rechtsschutz erlangt werden. 


8.4 Freihandelsabkommen? 


Die Hoffnungen, über Freihandelsab- 
kommen, etwa das transatlantische Ab- 
kommen zwischen der EU und den USA 
(TTIP), aus der Grundrechtsbindung 
von grenzüberschreitenden Datentrans- 
fers ausbrechen zu können, sind unbe- 
gründet. Diese Abkommen enthalten re- 
gelmäßig gemäß Art. 14 GATT im Hin- 
blick auf den Datenschutz eine Ausnah- 
meklausel. Dessen ungeachtet ist darauf 
zu achten, dass diese Generalausnahme 
nicht durch spezifische Regelungen fak- 


tisch ausgehebelt werden”. 


8.5 Binding Corporate Rules 


Die Entscheidung der deutschen 


Datenschutzbehörden, zunächst kei- 
ne BCRs mehr nach $ 4c Abs. 2 Bun- 
desdatenschutzgesetz (BDSG) zu 


genehmigen, ist konsequent. Die be- 
stehenden BCRs dürften weitgehend 
nicht den materiell-rechtlichen Anfor- 
derungen des EuGH genügen. Nach 
entsprechender Anerkennung durch 
die Aufsichtsbehörden in der Vergan- 
genheit entfalten diese aber weiterhin 
eine rechtliche Wirkung. Angesichts 
der nun vorliegenden klarstellenden 
EuGH-Rechtsprechung fehlte den bis- 
her erfolgten Genehmigungen nach 
heutiger Erkenntnis die materiell- 
rechtliche Grundlage. Die erfolgt je- 
weils auf der Basis eines von Anfang 
an rechtswidrigen Verwaltungsaktes. 
Die Aufsichtsbehörden sind aufgefor- 
dert, zunächst generell neue Anforde- 
rungen an BCRs zu formulieren, diese 
den Unternehmen mitzuteilen und zu 
verlangen, ihre BCRs innerhalb einer 
angemessenen Frist anzupassen. Wird 
dem nicht entsprochen, so können die 
Genehmigungen nach dem jeweili- 
gen Verwaltungsverfahrensrecht (vgl. 
8 48 BVwVfG) zurückgenommen wer- 
den. Hinsichtlich der Anforderungen 
kann auf die Ausführungen zu den 
Standardvertragsklauseln verwiesen 
werden (s. u. 8.9). 
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8.6 Übergangsfrist? 


Die offiziellen Stellen — also auch 
die Aufsichtsbehörden — dürfen die 
Unternehmen nicht längere Zeit im 
Ungewissen lassen, aber auch nicht 
überfordern. Insofern ist die von der 
Artikel-29-Arbeitsgruppe gesetzte Frist 
vom 31.01.2016 als Stillhaltezusage in 
Bezug auf konkrete Sanktionen zu be- 
grüßen. Diese entbindet die Aufsichts- 
behörden aber nicht, umgehend die be- 
troffenen Unternehmen zu kontaktieren 
und Lösungen einzufordern. Die mit der 
Fristsetzung explizit verbundene Erwar- 
tung im Hinblick auf die US-Position 
ist aber illusorisch: Auch wenn die EU- 
Kommission dies von den USA ein- 
fordern wird, so werden sich nach den 
bisherigen Erfahrungen diese weigern, 
den Anforderungen des EuGH an einen 
gerichtlichen Rechtsschutz, materielle 
Datenschutzrechte und eine Umsetzung 
des _Verhältnismäßigkeitsgrundsatzes 
nachzukommen. Erfolgversprechender 
ist der Ansatz, zeitnah die Standardver- 
tragsklauseln an das EuGH-Urteil an- 
zupassen (dazu näher unter 8.9). Dazu 
sollte die EU-Kommission bis Ende Ja- 
nuar 2016 in der Lage sein. 


8.7 Rechtsgrundlage Einwilligung 


Bevor der rechtlich geforderte Min- 
destinhalt von Standardvertragsklau- 
seln und BCRs erörtert wird, ist auf die 
kontrovers erörterte Frage einzugehen, 
inwieweit Einwilligungen Datentrans- 
fers in die USA rechtfertigen können. 
Insofern weist das ULD zurecht darauf 
hin, dass vor Einholung einer wirksa- 
men Einwilligung nachweisbar auf das 
fehlende Datenschutzniveau und auf 
die US-staatlichen Zugriffsbefugnisse 
hingewiesen werden muss, um zumin- 
dest ansatzweise zu gewährleisten, dass 
die erteilte Einwilligung informiert er- 
folgte. Der formularmäßige Hinweis 
in allgemeinen Geschäftsbedingungen 
(AGB) genügt nicht. Sind alle weiteren 
Anforderungen an eine wirksame Ein- 
willigung — insbesondere Freiwilligkeit, 
Information über die Art der Daten, die 
Zwecke und die verarbeitenden Stellen 
— gegeben, so können Einwilligungen 
wirksam sein. Hinsichtlich von Einwil- 
ligungen in Beschäftigungsverhältnis- 
sen ist die Freiwilligkeit nur gegeben, 


wenn der Beschäftigte ohne berufliche 
Nachteile zu befürchten diese verwei- 
gern kann. 


8.8 Rechtsgrundlage: Vertrag mit 
dem Betroffenen 


Dem ULD ist auch zuzustimmen, 
dass Übermittlungen zur Vertragserfül- 
lung zulässig sein können. Da trotz der 
umfassenden Berichterstattung in den 
Medien der Mangel des Datenschutz- 
niveaus in den USA nicht als allgemein 
bekannt vorausgesetzt werden kann, ist 
es — im Interesse der Wirksamkeit der 
erfolgenden Willenserklärung bei Ver- 
tragsabschluss — dringend zu empfehlen 
und wohl in den meisten Fällen recht- 
lich gefordert, in dem Vertragstext einen 
expliziten Hinweis auf das bestehende 
Risiko zu geben. Um keine Missver- 
ständnisse entstehen zu lassen: Vertrags- 
basierte Datenübermittlungen setzen 
Verträge zwischen dem Betroffenen und 
verarbeitenden Stellen voraus; Drittda- 
ten können auf dieser Grundlage nicht 
weitergegeben werden. 


8.9. Vertragliche Verpflichtung des 
Datenexporteurs 


Es ist wohl realistisch, dass zumindest 
mittelfristig in den USA die anlasslose 
massenhafte Internetüberwachung nicht 
eingestellt wird und dass es auch nicht 
zu einer gesetzlichen Anerkennung ei- 
nes einklagbaren, dem europäischen 
Grundrecht auf Datenschutz vergleich- 
baren Anspruchs von Jedermann auf 
Datenschutzrechte kommen wird. So 
stellt sich die Frage: Wie können Stel- 
len in Europa den Anforderungen des 
EuGH genügen, wenn Übermittlungen 
absolut unvermeidlich sind? Wie kann 
ein angemessener Ausgleich zwischen 
der Achtung des Grundrechts auf Privat- 
sphäre und den Interessen an einen frei- 
en Verkehr personenbezogener Daten 
aussehen?”® 

Insofern dürfte — außer bei direkter 
Betroffenenbeteiligung (s.o. 8.7 u. 8.8), 
also insbesondere bei Standardvertrags- 
klauseln und BCRs — mittelfristig nur 
ein Weg gangbar sein: Der Datenexpor- 
teur verpflichtet den Datenimporteur, 
abgesichert durch hinreichende Sankti- 
onen wie Vertragsstrafen und Haftungs- 
übernahmen — vergleichbar der Auf- 
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tragsdatenverarbeitung — im Einzelfall 
umfassend Auskunft über die dort erfol- 
gende Datenverarbeitung zu geben. Diese 
Auskunft ermöglicht es dem Exporteur, 
Auskunft an den Betroffenen oder an 
die für ihn zuständige Aufsichtsbehör- 
de zu geben. Über den Datenexporteur 
müssen alle dort geltenden gesetzlichen 
Betroffenenrechte geltend gemacht wer- 
den können, die mangels Rechtsschutz in 
den USA dort nicht administrativ und ge- 
richtlich durchgesetzt werden können. Zu 
den Betroffenenrechten gehört auch das 
Recht, eine unabhängige Datenschutz- 
aufsichtsbehörde anzurufen, die dann die 
Rechtmäßigkeit der Datenübermittlung 
im konkreten Einzelfall überprüfen kann. 
Im Rahmen dieser Prüfung muss und kann 
sie dann auch ermitteln, ob der Datenim- 
porteur seinen vertraglichen Pflichten und 
Garantien entspricht bzw. entsprochen 
hat.”” Ist der Betroffenen der Ansicht, dass 
seine Datenschutzrechte verletzt werden, 
so kann er auch unter Berufung auf die- 
sen Vertrag den Rechtsweg gegen den 
Datenexporteur beschreiten.”” Um diese 
Möglichkeit zu eröffnen, muss der Expor- 
teur seinen Transfervertrag zugunsten der 
Drittbetroffenen entweder veröffentlichen 
oder in anderer geeigneter Weise die Be- 
troffenen hierüber informieren. 


9. Weitere Folgewirkungen 
9.1 Trilog 


Das EuGH-Urteil hat Auswirkungen 
auf die Trilog-Verhandlungen zwischen 
Kommission, Parlament und Rat der 
EU zu einer Europäischen Datenschutz- 
Grundverordnung (EU-DSGVO). Es ist 
zu hoffen und unabdingbar, dass die Nor- 
men zu grenzüberschreitenden Daten- 
übermittlungen in der EU-DSGVO mit 
den grundrechtlich abgeleiteten Anfor- 
derungen des EuGH in Einklang stehen. 
Entsprechendes gilt auch für die ebenso 
im Trilog verhandelte Datenschutzricht- 
linie für die Bereiche Innen und Justiz. 
Das Erfordernis eines angemessenen — 
nicht identischen — Datenschutzes in den 
Empfängerländern gilt schon derzeit in 
der EG-DSR]l. Wünschenswert ist, dass 
der europäische Gesetzgeber gemäß den 
materiellen Anforderungen des EuGH 
explizite Prüfkriterien für die Angemes- 
senheit des Datenschutzniveaus im Emp- 
fängerland normiert. 
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9.2 Umbrella-Abkommen 


Keine Zukunftsperspektive hat das 
weitgehend ausverhandelte Umbrella- 
Abkommen zwischen der EU und den 
USA zur Datenübermittlung zum Zweck 
der Strafverfolgung." 


9.3 Fluggast- und Bankdatenab- 
kommen 


Die EU-Justizkommissarin Vera 
Jourovä vertrat die Ansicht, dass das 
EuGH-Urteil zu Safe Harbor kei- 
ne Auswirkungen auf den Flug- und 
Bankdatentransfer habe, also auf die 
Übermittlungen von Passenger Name 
Records (PNR) und von Daten des in- 
ternationalen Bankdienstleisters SWIFT 
im Rahmen des Terrorist Finance Tra- 
cking Programs (TFTP). Sie begründet 
dies damit, dass dort der Zugriff der US- 
Behörden an enge Vorgaben geknüpft 
sei und den EU-Bürgern überdies die 
Möglichkeit eingeräumt sei, sich per 
Verwaltungs- oder gerichtlicher Verfah- 
ren gegen ungerechtfertigte Zugriffe zu 
wehren.” Diese Äußerung zeugt von 
einem in einem Rechtsstaat nicht zu to- 
lerierenden Primat der Politik (s.u. 10). 
Frau Jourova ist nicht entgangen, dass 
die theoretisch zulässigen Rechtsmittel 
keine Wirksamkeit entfalten. Diese ba- 
sieren auf einem leicht zu erkennenden 
Umstand: der Verweigerung der grund- 
rechtlich geforderten Datentransparenz, 
ohne die jegliches Rechtsschutzbegeh- 
ren ins Leere läuft. 


9.4 Geheimdienste 


Die Diskussion, inwieweit sich das Eu- 
GH-Urteil auf die anlasslose Datenerhe- 
bung und den Datenaustausch zwischen 
nationalen Geheimdiensten — auch inner- 
halb der EU - auswirkt, hat erst begon- 
nen und muss intensiv geführt werden. 


9,5 Facebook-Verfahren vor dem 
BVerwG 


Die grünen Landtagsabgeordneten 
Burkhard Peters und Rasmus Andresen 
wiesen darauf hin, dass das EuGH-Ur- 
teil Einfluss auf die ausstehende Ent- 
scheidung des Bundesverwaltungsge- 
richts (BVerwG) im Rechtsstreit zwi- 
schen dem ULD und den Betreibern von 


Facebook-Fanpages im Lande haben 
wird, worüber am 25.02.2016 verhan- 
delt wird. Das zentrale Argument des 
ULD, dass das Betreiben einer Fanpage 
ein rechtlich und technisch einheitlicher 
Vorgang ist, bei dem Fanpage-Betreiber 
und Facebook sich gegenseitig ergänzen 
und voreinander abhängig sind, werde 
gestützt. Der Betrieb von Facebook- 
Fanpages verstoße, wie der EuGH klar- 
gestellt hat, massiv gegen deutsches und 
europäisches Datenschutzrecht.°° 


9.6 Klagerecht der Datenschutzauf- 
sichtsbehörden 


Angesichts der gewaltigen Bedeutung 
des EuGH-Urteils für den grenzüber- 
schreitenden Datenverkehr ist eine Er- 
wägung des EuGH bisher wenig disku- 
tiert worden, die von der Konferenz der 
Datenschutzbeauftragten des Bundes 
und der Länder in ihrer Stellungnahme 
vom 26.10. unter Punkt 11 kurz und 
knapp thematisiert wurde: „Die Daten- 
schutzbehörden fordern die Gesetzgeber 
auf, entsprechend dem Urteil des EuGH 
den Datenschutzbehörden ein Klage- 
recht einzuräumen.‘“* 


10. Abschlussbemerkungen 


Das vorliegende EuGH-Urteil wird 
noch oft besprochen, diskutiert, kom- 
mentiert und zitiert werden. Die sich 
hieraus ergebenden politischen und 
rechtlichen Konsequenzen sollten darin 
bestehen, dass das mit der Safe-Harbor- 
Entscheidung der EU-Kommission im 
Jahr 2000 zum Ausdruck gebrachte un- 
sägliche Primat der Politik beim inter- 
nationalen Datenschutz dem „Rule of 
Law“, also der Herrschaft des Rechts, 
weicht. Safe Harbor beruhte von Anfang 
an auf der Überlegung, wirtschaftliche 
Erwägungen, die Macht des Faktischen 
und die freundschaftlichen Beziehungen 
zu den USA über die Rechtsstaatlichkeit 
zu stellen. 

Erschreckend sind die ersten Signale 
von EU-Rat und EU-Kommission, wo- 
nach die Lektion bisher nicht verstanden 
wurde und keine klare Umkehr erfolgen 
soll. Beim Datenschutz gibt es einen 
vergleichbaren Dauerkonflikt zwischen 
dem deutschen Gesetzgeber und dem 
Bundesverfassungsgericht insbesondere 
in Sicherheitsfragen, der schon zu vielen 


DANA » Datenschutz Nachrichten 4/2015 


Gerichtsurteilen gegen Bundesgesetze 
geführt hat, nicht aber zu einer verfas- 
sungskonformen Selbstbeschränkung 
des Gesetzgebers. Der Bundesgesetz- 
geber hat soeben mit seinem Gesetz zur 
Vorratsdatenspeicherung von Telekom- 
munikationsdaten seine Maßlosigkeit 
erneut unter Beweis gestellt. Ein klü- 
geres, weniger arbeits- und energieauf- 
wändigeres Prozedere auf europäischer 
Ebene wäre wünschenswert — ist aber 
wohl nicht realistisch. 

Ein Bekenntnis zu einem grundrechts- 
konformen gelebten Datenschutz läge 
auch im Interesse der europäischen IT- 
Wirtschaft. Die Umsetzung des EuGH- 
Urteils eröffnet für diese die Chance, 
zumindest auf dem europäischen Markt 
nicht mehr deshalb benachteiligt zu 
sein, weil sie sich — anders als viele gro- 
Be US-Unternehmen - effektiv an Recht 
und Gesetz orientieren. Ein beliebtes 
Argument der offiziellen US-Seite in 
diesem Konflikt ist, dass die Grund- 
rechtsorientierung und der damit einher 
gehende europäische „Daten-Nationa- 
lismus“ nicht nur in einer globalen In- 
formationsgesellschaft anachronistisch, 
sondern auch nichts anderes als ethisch 
verpackter Protektionismus sei. Selbst 
wenn es das wäre: Die USA verhält 
sich ebenso, wenn sie den chinesischen 
Technologiekonzern Huawei von öffent- 
lichen Aufträgen ausschließt.” 

Die gleichbehandelnde Anwendung 
des Grundrechtsschutzes der Bürger bei 
europäischen wie bei US-Unternehmen 
könnte außerdem den Effekt haben, dass 
die US-Wirtschaft Druck auf die US- 
Administration ausübt, endlich auch in 
den USA digitalen Grundrechtsschutz 
zu etablieren, der nicht nur für US- und 
evtl. für EU-Bürger gilt, sondern für alle 
Menschen. So unwahrscheinlich es der- 
zeit erscheinen mag, es muss das Bestre- 
ben dahin gehen, mit Hilfe des EuGH- 
Urteils zu Safe Harbor die USA - einge- 
schlossen die dortige Regierung und den 
Supreme Court — dazu zu bringen, sich 
seiner verloren gegangenen freiheitli- 
chen und demokratischen Ursprünge 
zu besinnen und diese den Umständen 
unserer hochtechnisierten Informations- 
gesellschaft und unserer modernen Zeit 
anzupassen und fortzuentwickeln. 
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Positionspapier des Unabhängigen Landeszentrums 
für Datenschutz Schleswig-Holstein (ULD) zum Safe- 
Harbor-Urteil des Gerichtshofs der Europäischen 
Union vom 6. Oktober 2015, C-362/14 


Dieses Positionspapier richtet sich an 
nichtöffentliche und öffentliche Stellen 
in ihrer Funktion als verantwortliche 
Stellen für Datenverarbeitungen ($ 3 
Abs. 7 BDSG/$ 2 Abs. 3 LDSG) und 
soll verdeutlichen, welche Folgen das 
Unabhängige Landeszentrum für Daten- 
schutz (ULD) Schleswig-Holstein aus 
dem „Safe-Harbor-Urteil‘“ des Gerichts- 
hofs der Europäischen Union (EuGH) 
vom 06.10.2015, C-362/14, zieht. 

Zunächst wird dargestellt, welche Aus- 
sagen der EuGH in seinem Urteil ge- 
troffen bzw. nicht getroffen hat (1). Das 
Positionspapier nimmt danach Stellung 
zu der Frage, welche Handlungsoptionen 
nach dem Urteil für die EU-Kommission 
bestehen (2), auf Basis welcher Rechts- 
grundlagen eine Übermittlung perso- 
nenbezogener Daten in die USA noch in 
Betracht kommt bzw. nicht mehr zulässig 
ist (3) und wie mit den Standardvertrags- 
klauseln umzugehen ist (4). Schließlich 
wird dargestellt, welche Auswirkungen 
die gerichtliche Entscheidung — soweit 
dies derzeit absehbar ist — auf die Prüftä- 
tigkeit des ULD hat (5). 


1. Inhalt des Urteils 


Der EuGH hat die Safe-Harbor-Ent- 
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scheidung der Europäischen Kommis- 
sion für ungültig erklärt. Während die 
darin geregelte Selbstzertifizierung US- 
amerikanischer Unternehmen bisher als 
Grundlage für Datenübermittlungen in 
die USA herangezogen wurde, ist dies 
mit Verkündung des Urteils nicht mehr 
zulässig. 

Allem voran nimmt der EuGH Be- 
zug auf Mitteilungen der Kommission 
an das Europäische Parlament und den 
Rat aus November 2013, in denen die 
Kommission diverse Schutzlücken ih- 
rer Safe-Harbor-Entscheidung darstellt. 
Mit Blick auf diese Feststellungen der 
Kommission selbst macht der EuGH in 
seinem Urteil deutlich, dass die Safe- 
Harbor-Entscheidung ungültig ist, weil 
sie keine ausreichende Begrenzung der 
Zugriffe von staatlichen Behörden bewir- 
ke. Ebenso fehle es in der Safe-Harbor- 
Entscheidung an jeder Feststellung über 
ausreichende Rechtsschutzmöglichkeiten 
für europäische Bürgerinnen und Bürger. 
Ohne das Rechtssystem der USA konkret 
zu bewerten, stellt der EuGH abstrakt 
fest, dass nationale Regelungen, die es 
generell gestatten, auf den Inhalt elekt- 
ronischer Kommunikation zuzugreifen, 
den Wesensgehalt des Grundrechts auf 
Achtung des Privatlebens verletzen. 


Zudem schränke die Safe-Harbor-Ent- 
scheidung die Aufsichtsbefugnisse der 
europäischen Datenschutz-Aufsichts- 
behörden zu sehr ein und halte sich 
nicht an die Vorgaben, auf Basis derer 
die Kommission über das Schutzniveau 
eines Drittstaates entscheiden könne. 
Statt wie es Art. 25 Abs. 6 der Richtlinie 
95/46/EG verlangt, habe die Kommissi- 
on keine Aussage über das Datenschutz- 
niveau in den USA getroffen, sondern 
mit den Safe-Harbor-Grundsätzen eine 
untaugliche Hilfskonstruktion als Ersatz 
für das unangemessene Schutzniveau 
gewählt. 

Der EuGH hat damit nicht abschlie- 
ßend über das in den USA geltende 
Schutzniveau geurteilt, sondern das 
Verfahren zur Klärung dieser konkreten 
Fragen an das irische Ausgangsgericht 
zurücküberwiesen. 


2. Handlungsmöglichkeiten der EU- 
Kommission 


a) Die Kommission könnte auf Basis 
von Art. 25 Abs. 6 der Richtlinie 95/46/ 
EG eine neue Entscheidung erlassen, in 
der sie feststellt, dass die USA ein ange- 
messenes Schutzniveau bieten. Hierzu 
wäre u.a. das Folgende zu beachten: 
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Das datenschutzrechtliche Schutzni- 
veau in den USA für die Freiheiten und 
Grundrechte der Betroffenen muss nach 
den Vorgaben des EuGH im Licht der 
Grundrechtecharta dem europäischen 
Schutzniveau gleichwertig sein. Nach 
Auffassung der Konferenz der Daten- 
schutzbeauftragten des Bundes und der 
Länder haben die Enthüllungen von 
Edward Snowden offengelegt, dass US- 
Sicherheitsbehörden systematisch und 
massenhaft auf in die USA übermittelte 
personenbezogene Daten zugreifen und 
damit die Safe-Harbor-Grundsätze mit 
großer Wahrscheinlichkeit gravierend 
verletzt werden. Die USA können des- 
halb keine innerstaatlichen Rechtsvor- 
schriften oder internationalen Verpflich- 
tungen vorweisen, die ein angemessenes 
Schutzniveau bieten. 

Nach den Vorgaben des EuGH erfor- 
dert die Annahme eines angemessenen 
Schutzniveaus einen wirksamen gericht- 
lichen Rechtsschutz für europäische 
Bürgerinnen und Bürger gegen Eingriffe 
in das Grundrecht auf Achtung der Pri- 
vatsphäre. Es darfkein genereller Zugriff 
der staatlichen US-Behörden auf elek- 
tronische Kommunikation erfolgen, da 
dies gegen den Wesensgehalt von Art. 7 
der Grundrechtecharta verstoßen wür- 
de. Haben EU-Bürgerinnen und -Bürger 
keine Möglichkeit, Zugang zu ihren per- 
sonenbezogenen Daten zu erlangen bzw. 
gerichtlichen Rechtsschutz in Anspruch 
zunehmen, läge ein Verstoß gegen Art. 47 
der Grundrechtecharta vor. 

Bei der Prüfung des angemessenen 
Datenschutzniveaus müsste die Kom- 
mission auf bestehende sowie gesetzlich 
flankierte Schutzmechanismen und Re- 
gulierungsinstrumente in den USA ab- 
stellen und diese einer Adäquanzprüfung 
unterziehen. Ein von der Kommission 
selbst entwickeltes Regulierungsinstru- 
ment wie die Safe-Harbor-Grundsätze 
sind vor diesem Hintergrund nicht trag- 
fähig und würden diesen Anforderungen 
nicht im Ansatz genügen. 


b) Die Kommission könnte einen völ- 
kerrechtlichen Vertrag wie etwa ein Da- 
tenschutzabkommen mit den USA for- 
cieren. Dieser völkerrechtliche Vertrag 
müsste insbesondere die Anforderun- 
gen der Art. 7, 8 Abs. 1 und 47 Abs. 1 
der Grundrechtecharta erfüllen. Auch 
hierzu müssten die USA zunächst die 
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inländische Datenverarbeitung gesetz- 
lich regeln und dabei vor allem den 
generellen und zweckfreien Zugriff auf 
den Inhalt der elektronischen Kommu- 
nikation einstellen und einen wirksa- 
men gerichtlichen Rechtsschutz für die 
EU-Bürgerinnen und Bürger vorsehen. 
Nach den Vorgaben des EuGH müssen 
ausreichende Garantien zum Schutz der 
Grundfreiheiten/Grundrechte der EU- 
Bürgerinnen und Bürger gerade im Hin- 
blick auf die automatisierte Datenverar- 
beitung hin vorgesehen werden. 


Ergebnis: Eine Entscheidung der 
Kommission zur Angemessenheit des 
Datenschutzniveaus in den USA erfor- 
dert ebenso wie der Abschluss eines völ- 
kerrechtlichen Datenschutzabkommens 
eine umfassende Änderung US-ame- 
rikanischen Rechts. Da entsprechende 
Änderungen derzeit nicht zu erwarten 
sind, scheiden beide Handlungsoptionen 
kurz- oder mittelfristig aus. 


3. Rechtsgrundlagen für die Über- 
mittlung personenbezogener Daten 


Die Übermittlung personenbezogener 
Daten in Länder, in denen kein ange- 
messenes Datenschutzniveau besteht, 
muss für nichtöffentliche Stellen anhand 
von $ 4c Abs. 1 des Bundesdatenschutz- 
gesetzes (BDSG), für öffentliche Stellen 
in Schleswig-Holstein nach $ 16 Abs. 2 
des Landesdatenschutzgesetzes (LDSG) 
beurteilt werden. Dabei ergeben sich für 
den Datentransfer in die USA folgende 
Leitlinien: 


a) $Ac Abs. 1 Nr. 1 BDSG und $ 16 
Abs. 2 Satz 2 Nr. 1 LDSG legitimieren 
eine Datenübermittlung in ein Drittland 
ohne angemessenes Datenschutzni- 
veau auf Basis einer Einwilligung des 
Betroffenen. Die Einwilligung muss 
„ohne jeden Zweifel“ gegeben werden, 
Art. 26 Abs. 1 Buchstabe a der Richt- 
linie 95/46/EG, Art. 29-Datenschutz- 
gruppe, WP 187, S. 32. Eine wirksame 
Einwilligungserklärung erfordert nicht 
nur eine Aufklärung über die Zwecke, 
sondern auch über die Risiken der Da- 
tenverarbeitung bzw. den damit ver- 
bundenen Verzicht auf ein gleichwerti- 
ges bzw. angemessenes Schutzniveau. 
Der Betroffene müsste daher zunächst 
umfassend über das fehlende Schutz- 


niveau, vor allem über US-staatliche 
Zugriffsbefugnisse, fehlende Rechts- 
schutzmöglichkeiten/Betroffenenrech- 
te, Weiterverarbeitung der Daten ohne 
Zweckgebundenheit, die Nichtgeltung 
des Erforderlichkeitsgrundsatzes sowie 
über fehlende staatliche Kontrollmecha- 
nismen in den USA aufgeklärt werden. 

Für die Wirksamkeit einer Einwilli- 
gungserklärung muss insbesondere im- 
mer eine Aufklärung über die konkre- 
ten Zwecke der Verarbeitung erfolgen, 
$ 4a Abs. 1 Satz 2 BDSG. Schließlich 
wäre für die Einwilligung erforderlich, 
dass eine Erklärung „für den konkreten 
Fall“ bzw. für eine konkrete Datenver- 
arbeitung abgegeben wird, Art. 29-Da- 
tenschutzgruppe, WP 187, S. 20 ff. Eine 
Generalerklärung für eine Vielzahl von 
nicht übersehbaren Datenverarbeitun- 
gen wird regelmäßig unzulässig sein. 
Speziell in Beschäftigungsverhältnissen 
würde den Beschäftigten hinsichtlich ih- 
rer Erklärungen auch keine Wahlfreiheit 
verbleiben, soweit der Arbeitgeber eine 
Einwilligung für die Übermittlung ihrer 
personenbezogenen Daten in die USA 
verlangt. Es würde keine freie Entschei- 
dung im Sinne von $ 4a Abs. 1 BDSG, 
$ 12 Abs. 2 LDSG vorliegen und damit 
keine wirksame Erklärung. Sehen US- 
amerikanische Vorschriften eine nicht 
zweckgebundene Datenverarbeitung 
durch staatliche Behörden vor, so schei- 
tert bereits hieran die wirksame Einwil- 
ligung. 

Selbst bei ausreichender Information 
über die Risiken und auch in Fällen, in 
denen noch von einer Freiwilligkeit aus- 
gegangen werden könnte, würde die Ein- 
willigung grundsätzlichen Bedenken be- 
gegnen. Die anlasslose Massenüberwa- 
chung durch Geheimdienste greift nach 
Ansicht des EuGH in den Wesensgehalt 
des Grundrechts auf Achtung des Privat- 
lebens ein. Derartige Eingriffe sind nach 
bundesverfassungsgerichtlicher Recht- 
sprechung jedoch der Disposition des 
Einzelnen, auch im Wege einer Einwilli- 
gung, entzogen. Dies kann sich auch auf 
die Einwilligung in die Datenübermitt- 
lung in einen Staat erstrecken, in dem 
der Wesensgehalt der Grundrechte der 
EU nicht gewahrt wird. Die Aufnahme 
einer solchen Einwilligung etwa in All- 
gemeine Geschäftsbedingungen wäre 
mit größter Wahrscheinlichkeit sitten- 
widrig im Sinne des $ 138 BGB. 
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Ergebnis: Die Einwilligung nach $ 4a 
BDSG, $ 12 LDSG scheidet nach den 
obigen Ausführungen als Rechtsgrund- 
lage für die Zulässigkeit der Übermitt- 
lung trotz fehlenden angemessenen Da- 
tenschutzniveaus aus. 


b) Im Bereich der Privatwirtschaft 
kommen als Rechtsgrundlagen im We- 
sentlichen nur $ 4c Abs. I Nr. 2 und 3 
BDSG in Betracht. Demnach ist die Da- 
tenübermittlung zulässig für die Erfül- 
lung eines Vertrags zwischen dem Be- 
troffenen und der verantwortlichen Stelle 
oder zur Durchführung von vorvertragli- 
chen Maßnahmen, die auf Veranlassung 
des Betroffenen getroffen worden sind, 
soweit dies erforderlich ist, $ 4c Abs. 1 
Nr. 2 BDSG. Erfasst sind hiervon etwa 
Reise- und Flugbuchungen. Weiterhin 
wäre die Datenübermittlung zulässig, 
sofern diese zum Abschluss oder zur 
Erfüllung eines Vertrags erforderlich ist, 
der im Interesse des Betroffenen von der 
verantwortlichen Stelle mit einem Drit- 
ten geschlossen wurde oder geschlossen 
werden soll, $ 4c Abs. 1 Nr. 3 BDSG. 
Beide Tatbestände bilden jedoch keine 
Übermittlungsgrundlagen für Beschäf- 
tigtendaten, welche in den USA z.B. zur 
Leistungs- oder Verhaltenskontrolle ver- 
arbeitet werden. 


4. Umgang mit Standardvertragsklau- 
seln durch nichtöffentliche Stellen 


Exemplarisch wird auf Klausel 5 
Buchstabe b des Beschlusses der Kom- 
mission über Standardvertragsklauseln 
für die Übermittlung personenbezogener 
Daten an Auftragsverarbeiter in Dritt- 
staaten vom 5. Februar 2010 (2010/87/ 
EU) verwiesen. Demnach garantiert der 
Datenimporteur gegenüber dem europä- 


Statement der Arti 


Brüssel, 16. Oktober 2015 


Im Anschluss an die Grundsatzent- 
scheidung des Gerichtshofs der Europä- 
ischen Union (EuGH) vom 6. Oktober 
2015 in der Rechtssache Maximilian 
Schrems gegen Data Protection Com- 
missioner (C-362/14) haben die an der 
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ischen Datenexporteur unter anderem, 
dass er seines Wissens keinen Geset- 
zen unterliegt, die ihm die Befolgung 
der Anweisungen des Datenexporteurs 
und die Einhaltung seiner vertraglichen 
Pflichten unmöglich machen. Genau 
diese vertragliche Pflicht können US- 
amerikanische Vertragspartner mit Blick 
auf das in den USA geltende Recht aber 
nicht einhalten. Der Datenexporteur ist 
in derartigen Fällen berechtigt, die Da- 
tenübermittlung auszusetzen oder den 
Standardvertrag zu kündigen. Gleiches 
gilt z.B. nach Klausel 5 Buchstabe b des 
Beschlusses der Kommission über Stan- 
dardvertragsklauseln für die Übermitt- 
lung personenbezogener Daten an Auf- 
tragsverarbeiter in Drittstaaten vom 27. 
Dezember 2001 (2002/16/EG) und nach 
Klausel 5 Buchstabe a des Beschlusses 
der Kommission über Standardvertrags- 
klauseln für die Übermittlung personen- 
bezogener Daten in Drittstaaten vom 15. 
Juni 2001 (2001/497/EG). 


Ergebnis: Nichtöffentliche Stellen, 
die für ihren Datentransfer in die USA 
Standardvertragsklauseln verwenden, 
müssen nun in Erwägung ziehen, den 
zugrunde liegenden Standardvertrag 
mit dem Datenimporteur in den USA zu 
kündigen oder die Datenübermittlungen 
auszusetzen. In konsequenter Anwen- 
dung der Vorgaben des EuGH in sei- 
nem Urteil ist eine Datenübermittlung 
auf Basis von Standardvertragsklauseln 
nicht mehr zulässig. 


5. Prüftätigkeit des ULD gegenüber 
nichtöffentlichen Stellen 


a) Im Bereich der Standardvertrags- 
klauseln — exemplarisch Art. 4 Buch- 
stabe a des Beschlusses der Kommis- 


sion vom 5. Februar 2010 (2010/87/ 
EU) — können die Aufsichtsbehörden 
Datenübermittlungen in die USA per 
verwaltungsrechtlicher Anordnung ver- 
bieten oder aussetzen. Die Anordnung 
ist möglich, wenn der Datenimporteur 
oder Unterauftragsverarbeiter nach den 
geltenden US-Vorschriften sich nicht 
an europäisches Datenschutzrecht/die 
Vorgaben der Standardvertragsklauseln 
halten können und die Anforderungen 
nach Art. 13 der Richtlinie 95/46/EG er- 
füllt sind. Die Datenexporteure aus Eu- 
ropa können dies nur abwenden, indem 
sie von ihrem vertraglich bestehenden 
Recht Gebrauch machen, den Standard- 
vertrag mit dem US-Datenimporteur 
aufzukündigen (exemplarisch Klausel 
5 b des Beschlusses der Kommission 
vom 5. Februar 2010 — 2010/87/EU). 


b) Die Übermittlung personenbezo- 
gener Daten in die USA ohne Rechts- 
grundlage erfüllt den Bußgeldtatbestand 
nach $ 43 Abs. 2 Nr. 1 BDSG und kann 
mit einem Bußgeld in Höhe von bis zu 
300.000 € geahndet werden. 


Ergebnis: Das ULD wird prüfen, ob 
Anordnungen gegenüber nichtöffentli- 
chen Stellen getroffen werden müssen, 
auf deren Basis Datenübermittlungen 
in die USA ausgesetzt oder verboten 
werden müssen. Ferner ist zu prüfen, 
ob nichtöffentliche Stellen infolge der 
Datenübermittlung in ein Drittland mit 
fehlendem angemessenem Datenschutz- 
niveau Ordnungswidrigkeiten verwirk- 
licht haben. 


Dieses Dokument ist im Internet zu 
finden unter https://www.datenschutz- 
zentrum.de/artikel/967-.html 


kel-29-Datenschutzgruppe 


Artikel-29-Datenschutzgruppe _betei- 
ligten EU-Datenschutzbehörden über 
die ersten Konsequenzen diskutiert, die 
auf europäischer und nationaler Ebene 
zu ziehen sind. Die EU-Datenschutz- 
behörden sind der Auffassung, dass ein 


starker gemeinsamer Standpunkt zur 
Umsetzung des Urteils von elementarer 
Bedeutung ist. Zudem wird die Daten- 
schutzgruppe genau verfolgen, wie sich 
die vor dem irischen High Court anhän- 
gigen Verfahren entwickeln. 
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Zunächst betont die Datenschutz- 
gruppe, dass die Frage der massenhaf- 
ten und willkürlichen Überwachung 
ein zentrales Element in der Analyse 
des Gerichtshofs ist. Sie erinnert daran, 
dass sie wiederholt darauf hingewiesen 
hat, dass eine derartige Überwachung 
nicht mit EU-Recht vereinbar ist und 
dass die bestehenden Übermittlungsin- 
strumente in diesem Fall keine Lösung 
darstellen. Wie bereits erwähnt, gelten 
Übermittlungen an Drittstaaten, in de- 
nen die Befugnisse staatlicher Stellen 
beim Zugriff auf Informationen über das 
in einer demokratischen Gesellschaft 
angemessene Maß hinausgehen, zudem 
nicht als Übermittlungen in sichere Ziel- 
staaten. In diesem Zusammenhang ist 
es durch das EuGH-Urteil erforderlich, 
dass jede Angemessenheitsentschei- 
dung auch eine weitreichende Analyse 
der innerstaatlichen Rechtsvorschriften 
und internationalen Verpflichtungen des 
Drittstaats enthält. 

Die Datenschutzgruppe fordert da- 
her die Mitgliedstaaten und die euro- 
päischen Institutionen nachdrücklich 
dazu auf, offene Gespräche mit den 
US-amerikanischen Behörden zu füh- 
ren, um politische, rechtliche und tech- 
nische Lösungen zu finden, damit die 
Grundrechte bei Datenübermittlungen 
in das Hoheitsgebiet der Vereinigten 
Staaten gewahrt werden. Solche Lösun- 
gen könnten durch Verhandlungen in 
einem zwischenstaatlichen Abkommen 
gefunden werden, das Betroffenen in 
der EU stärkere Garantien bietet. Die 
derzeitigen Verhandlungen über ein 
neues „Safe Harbour“ könnten Teil der 


Lösung sein. Auf jeden Fall sollten diese 
Lösungen stets mit klaren und verbind- 
lichen Mechanismen einhergehen und 
zumindest Verpflichtungen in Bezug 
auf die nötige Kontrolle des staatlichen 
Zugriffs, Transparenz, Verhältnismäßig- 
keit, Rechtsmittel und Datenschutzrech- 
te enthalten. 

In der Zwischenzeit wird die Daten- 
schutzgruppe weiter untersuchen, wie 
sich das EuGH-Urteil auf andere Über- 
mittlungsinstrumente auswirkt. Die 
Datenschutzbehörden gehen während 
dieser Zeit davon aus, dass die Stan- 
dardvertragsklauseln und BCR weiter 
verwendet werden können. Dies wird 
die Datenschutzbehörden jedoch nicht 
davon abhalten, bestimmte Fälle zu un- 
tersuchen, zum Beispiel auf der Grund- 
lage von Beschwerden, und ihre Befug- 
nisse zum Schutz von Einzelpersonen 
auszuüben. 

Falls bis Ende Januar 2016 noch keine 
angemessene Lösung in Zusammenar- 
beit mit den US-amerikanischen Behör- 
den gefunden wurde und je nachdem, 
wie die Einschätzung der Datenschutz- 
gruppe zu den Übermittlungsinstrumen- 
ten aussieht, sind die EU-Datenschutz- 
behörden verpflichtet, alle notwendigen 
und angemessen Maßnahmen zu ergrei- 
fen, einschließlich koordinierter Durch- 
setzungsmaßnahmen. 

Hinsichtlich der praktischen Kon- 
sequenzen des EuGH-Urteils ist die 
Datenschutzgruppe der Ansicht, dass 
Übermittlungen aus der Europäischen 
Union in die Vereinigten Staaten nicht 
mehr auf der Grundlage der Angemes- 
senheitsentscheidung der Europäischen 


Kommission 2000/250/EG (,„Safe-Har- 
bour-Entscheidung‘“) erfolgen können. 
In jedem Fall sind Übermittlungen, die 
nach dem EuGH-Urteil auf der Grund- 
lage der Safe-Harbour-Entscheidung er- 
folgen, rechtswidrig. 

Um sicherzustellen, dass alle Betei- 
ligten ausreichend informiert werden, 
werden die EU-Datenschutzbehörden 
auf nationaler Ebene angemessene In- 
formationskampagnen ins Leben ru- 
fen. Dabei können beispielsweise alle 
Unternehmen, die die Safe-Harbour- 
Entscheidung angewandt haben, direkt 
informiert und allgemeine Mitteilungen 
auf den Internetseiten der Behörden ein- 
gestellt werden. 

Abschließend lässt sich sagen, dass 
die Datenschutzgruppe darauf beharrtt, 
dass Datenschutzbehörden, EU-Institu- 
tionen, Mitgliedstaaten und Unterneh- 
men gemeinsam dafür verantwortlich 
sind, nachhaltige Lösungen für die Um- 
setzung des EuGH-Urteils zu finden. 
Insbesondere sollten Unternehmen im 
Kontext des Urteils über die Risiken 
nachdenken, die sie bei der Datenüber- 
mittlung letztendlich eingehen, und die 
rechtzeitige Einführung rechtlicher und 
technischer Lösungen in Erwägung zie- 
hen, um diese Risiken zu minimieren 
und den EU-Datenschutz-Acquis einzu- 
halten. 


Quelle: http://www.bfdi.bund.de/DE/ 
Infothek/Pressemitteilungen/2015/22 _ 
SafeHarborlstGekippt_WasNun. 
html?nn=5217154 


Positionspapier der Datenschutzkonferenz der 
Datenschutzbeauftragten des Bundes und der 
Länder vom 26.10.2015 


l. Nach dem Safe-Harbor-Urteil des 
EuGH vom 6. Oktober 2015 ist eine 
Datenübermittlung aufgrund der Safe- 
Harbor-Entscheidung der Kommission 
vom 26. Juli 2000 (2000/520/EG) nicht 
zulässig. 
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2. Im Lichte des Urteils des EuGH ist 
auch die Zulässigkeit der Datentransfers 
in die USA auf der Grundlage der an- 
deren hierfür eingesetzten Instrumen- 
te, etwa Standardvertragsklauseln oder 
verbindliche Unternehmensregelungen 


(BCR), in Frage gestellt. 

3. Der EuGH stellt fest, dass die Da- 
tenschutzbehörden der EU-Mitglied- 
staaten ungeachtet von Kommissions- 
Entscheidungen nicht gehindert sind, in 
völliger Unabhängigkeit die Angemes- 
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senheit des Datenschutzniveaus in Dritt- 
staaten zu beurteilen. 

4. Der EuGH fordert die Kommissi- 
on und die Datenschutzbehörden auf, 
das Datenschutzniveau in den USA und 
anderen Drittstaaten (Rechtslage und 
Rechtspraxis) zu untersuchen und gibt 
hierfür einen konkreten Prüfmaßstab 
mit strengen inhaltlichen Anforderun- 
gen vor. 

5. Soweit Datenschutzbehörden 
Kenntnis über ausschließlich auf Safe- 
Harbor gestützte Datenübermittlungen 
in die USA erlangen, werden sie diese 
untersagen. 

6. Die Datenschutzbehörden wer- 
den bei Ausübung ihrer Prüfbefugnisse 
nach Art. 4 der jeweiligen Kommissi- 
onsentscheidungen zu den Standardver- 
tragsklauseln vom 27. Dezember 2004 
(2004/915/EG) und vom 5. Februar 
2010 (2010/87/EU) die vom EuGH for- 
mulierten Grundsätze, insbesondere die 
Randnummern 94 und 95 des Urteils, 
zugrunde legen. 

7. Die Datenschutzbehörden werden 
derzeit keine neuen Genehmigungen 
für Datenübermittlungen in die USA auf 
Grundlage von verbindlichen Unterneh- 
mensregelungen (BCR) oder Datenex- 
portverträgen erteilen. 


8. Unternehmen sind daher aufgeru- 
fen, unverzüglich ihre Verfahren zum 
Datentransfer datenschutzgerecht zu 
gestalten. Unternehmen, die Daten in 
die USA oder andere Drittländer ex- 
portieren wollen, sollten sich dabei 
auch an der Entschließung der DSK 
vom 27.03.2014 „Gewährleistung der 
Menschenrechte bei der elektronischen 
Kommunikation“ und an der Orientie- 
rungshilfe „Cloud Computing“ vom 
09.10.2014 orientieren. 

9. Eine Einwilligung zum Transfer 
personenbezogener Daten kann unter 
engen Bedingungen eine tragfähige 
Grundlage sein. Grundsätzlich darf der 
Datentransfer jedoch nicht wiederholt, 
massenhaft oder routinemäßig erfolgen. 

10. Beim Export von Beschäftigten- 
daten oder wenn gleichzeitig auch Daten 
Dritter betroffen sind, kann die Einwilli- 
gung nur in Ausnahmefällen eine zuläs- 
sige Grundlage für eine Datenübermitt- 
lung in die USA sein. 

11. Die Datenschutzbehörden fordern 
die Gesetzgeber auf, entsprechend dem 
Urteil des EuGH den Datenschutzbehör- 
den ein Klagerecht einzuräumen. 

12. Die Kommission wird aufgefor- 
dert, in ihren Verhandlungen mit den 
USA auf die Schaffung ausreichend 


weitreichender Garantien zum Schutz 
der Privatsphäre zu drängen. Dies be- 
trifft insbesondere das Recht auf ge- 
richtlichen Rechtsschutz, die materiel- 
len Datenschutzrechte und den Grund- 
satz der Verhältnismäßigkeit. Ferner gilt 
es, zeitnah die Entscheidungen zu den 
Standardvertragsklauseln an die in dem 
EuGH-Urteil gemachten Vorgaben an- 
zupassen. Insoweit begrüßt die DSK die 
von der Art. 29-Gruppe gesetzte Frist 
bis zum 31. Januar 2016. 

13. Die DSK fordert die Bundesre- 
gierung auf, in direkten Verhandlungen 
mit der US-Regierung ebenfalls auf die 
Einhaltung eines angemessenen Grund- 
rechtsstandards hinsichtlich Privatsphä- 
re und Datenschutz zu drängen. 

14. Die DSK fordert Kommission, 
Rat und Parlament auf, in den laufen- 
den Trilog-Verhandlungen die strengen 
Kriterien des EuGH-Urteils in Kapitel V 
der Datenschutzgrundverordnung um- 
fassend zur Geltung zu bringen. 


Quelle: http://www.bfdi.bund.de/ 
SharedDocs/Publikationen/EU/Art- 
29Gruppe/Safe-Harbor_Update%20 
26_10 2015 _Positionspapier%20DSK. 
html?nn=5217154 


Mitteilung der Kommission an das Europäische 
Parlament und den Rat 


über den Transfer von Personendaten von der EU in die Vereinigten Staaten von Amerika (USA) gemäß Richtlinie 95/46/EG in 
Reaktion auf das Urteil des Europäischen Gerichtshofs im Fall C-362/14 (Schrems) 


Brüssel, 06.11.2015, COM(2015) 566/endg. 


... 2.3 Ausnahmen 


In Ermangelung einer Angemessen- 
heitsentscheidung nach Art. 25 Abs. 6 
Richtlinie 95/46/EG und ungeachtet der 
Anwendung von Standardvertragsklau- 
seln (SCC) und/oder Binding Corporate 
Rules (BCR), können Personendaten an 
Stellen mit Sitz in einem Drittland im- 
mer noch transferiert werden, soweit 
eine der alternativen Ausnahmen in Art. 
26 Abs. 1 Richtlinie 95/46/EG anwend- 
bar ist: 
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a) die betroffene Person ohne jeden 
Zweifel ihre Einwilligung gegeben hat 
oder 

b) die Übermittlung für die Erfüllung 
eines Vertrags zwischen der betroffenen 
Person und dem für die Verarbeitung 
Verantwortlichen oder zur Durchfüh- 
rung von vorvertraglichen Maßnahmen 
auf Antrag der betroffenen Person erfor- 
derlich ist oder 

c) die Übermittlung zum Abschluss 
oder zur Erfüllung eines Vertrags erfor- 
derlich ist, der im Interesse der betrof- 


fenen Person vom für die Verarbeitung 
Verantwortlichen mit einem Dritten ge- 
schlossen wurde oder geschlossen wer- 
den soll, oder 

d) die Übermittlung entweder für die 
Wahrung eines wichtigen Öffentlichen 
Interesses oder zur Geltendmachung, 
Ausübung oder Verteidigung von Rechts- 
ansprüchen vor Gericht erforderlich oder 
gesetzlich vorgeschrieben ist oder 

e) die Übermittlung für die Wahrung 
lebenswichtiger Interessen der betroffe- 
nen Person erforderlich ist oder 
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f) die Übermittlung aus einem Regis- 
ter erfolgt, das gemäß den Rechts- oder 
Verwaltungsvorschriften zur Informati- 
on der Öffentlichkeit bestimmt ist und 
entweder der gesamten Öffentlichkeit 
oder allen Personen, die ein berechtigtes 
Interesse nachweisen können, zur Ein- 
sichtnahme offensteht, soweit die ge- 
setzlichen Voraussetzungen für die Ein- 
sichtnahme im Einzelfall gegeben sind. 

Diese Gründe liefern Ausnahmen zum 
generellen Verbot des Transfers persön- 
licher Daten an Stellen mit Sitz in Dritt- 
ländern ohne angemessenes Schutzni- 
veau. Tatsächlich muss der Datenexpor- 
teur in diesen Fällen nicht sicherstellen, 
dass der Datenimporteur einen ange- 
messenen Schutz gewährleistet, und er 
benötigt regelmäßig auch keine vorher- 
gehende Erlaubnis für den Transfer von 
den zuständigen Behörden. Dessen un- 
geachtet müssen diese Ausnahmen nach 
Ansicht der Artikel-29-Arbeitsgruppe 
eng ausgelegt werden. ... 


3. Die Konsequenzen des Schrems- 
Urteils auf Angemessenheitsentschei- 
dungen 


... Die Reichweite des Urteils ist be- 
schränkt auf die Kommissionsentschei- 
dung zu Safe Habor. Doch enthält jede 
der anderen Angemessenheitsentschei- 
dungen eine Begrenzung der Kompe- 
tenzen der Datenschutzbehörden, wie 
sie auch in Art. 3 der Safe-Harbor- 
Entscheidung enthalten ist und die der 
Gerichtshof für unwirksam erklärt hat. 
Die Kommission wird nun die nötigen 
Konsequenzen aus dem Urteil ziehen, 
indem kurzfristig eine Entscheidung 
vorbereitet wird, die im anwendbaren 
Kommitologie-Verfahren angenommen 
werden soll und mit der diese Regelung 
in allen bestehenden Angemessenheits- 
entscheidungen ersetzt wird. 


4. Schlussfolgerung 


Wie von der Artikel-29-Arbeitsgruppe 
bestätigt wurde, können alternative In- 
strumente zur Zulassung von Daten- 
flüssen weiterhin von Unternehmen für 
zulässige Datentransfers in Drittstaaten 
wie die USA genutzt werden. Doch 
hält die Kommission weiterhin einen 
erneuerten und robusten Rahmen für 
Transfers in die USA für eine prioritäre 
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Schlüsselaufgabe. Ein solcher Rahmen 
wäre die umfassendste Lösung zur Si- 
cherstellung einer wirksamen Fortset- 
zung des Schutzes persönlicher Daten 
von EU-Bürgern bei einem Transfer in 
die USA. Er wäre auch die beste Lösung 
für transatlantischen Handel, da er einen 
einfacheren, weniger aufwändigen und 
deshalb kostengünstigeren Transferme- 
chanismus insbesondere für kleinere 
und mittlere Unternehmen (KMU) bie- 
ten würde. 

Die Kommission hat schon 2013 mit 
der US-Regierung auf der Basis seiner 
13 Empfehlungen Verhandlungen über 
ein neues Regelwerk für transatlantische 
Datentransfers begonnen. Es gab dabei 
beträchtliche Fortschritte, die Sicht- 
weisen beider Seiten zusammenzubrin- 
gen, etwa bzgl. der Überwachung und 
Durchsetzung der Safe-Harbor-Daten- 
schutz-Grundsätze durch das US-Han- 
delsministerium bzw. die Federal Trade 
Commission (US-FTC), mehr Verbrau- 
chertransparenz über deren Datenschutz- 
rechte, einfachere und billigere Abhilfe- 
möglichkeiten im Fall von Beschwerden 
und klareren Regeln bei der Datenwei- 
terübermittlung von Safe-Harbor-Un- 
ternehmen an Unternehmen außerhalb 
von Safe Harbor (z. B. für Zwecke der 
Unterauftragsdatenverarbeitung). Nach- 
dem nun die Safe-Harbor-Entscheidung 
für unwirksam erklärt worden ist, hat die 
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Kommission die Gespräche mit der US- 
Regierung intensiviert, um den Anforde- 
rungen zu genügen, die der Gerichtshof 
formuliert hat. Das Ziel der Kommission 
ist es, diese Diskussionen innerhalb von 
drei Monaten abzuschließen und dieses 
Ziel zu erreichen. 

Bis dahin, also bis ein überarbeiteter 
transatlantischer Rahmen geschaffen ist, 
müssen sich die Unternehmen auf ver- 
fügbare alternative Transferinstrumente 
verlassen können. Doch bringt diese Op- 
tion Verantwortlichkeiten für die unter 
der Aufsicht der Datenschutzbehörden 
stehenden Datenexporteure mit sich. 

Im Gegensatz dazu, dass die Kom- 
mission die Angemessenheit des Daten- 
schutzniveaus eines Drittstaates festge- 
stellt hat, worauf sich ein Datenexpor- 
teur beim Datentransfer aus der EU ver- 
lassen kann, bleibt Letztgenannter dafür 
verantwortlich, dass die Personendaten 
effektiv mit den alternativen Instrumen- 
ten geschützt werden. Dies mag nötige 
angemessene zusätzliche Maßnahmen 
nötig machen. 


Internet-Fundstelle für die gesamten 
Leitlinien in englischer Sprache: 
http://ec.europa.eu/justice/data-protec- 
tion/international-transfers/adequacy/ 
files/eu-us_data_flows_ 
communication_final.pdf 
Übersetzung: Thilo Weichert 
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online zu bestellen unter: www.datenschutzverein.de 
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Kommission veröffentlicht Leitlinien für trans- 

atlantische Datenübermittlungen und fordert rasche 
Einigung auf neuen Rechtsrahmen als Konsequenz 
aus dem Schrems-Urteil 


Brüssel, 16. Oktober 2015 


Der Europäische Gerichtshof hatte 
in seinem Urteil vom 6. Oktober in der 
Rechtssache Schrems die Bedeutung 
des Grundrechts auf Datenschutz ins- 
besondere bei der Übermittlung per- 
sonenbezogener Daten in Drittländer 
unterstrichen. 


Die Europäische Kommission ar- 
beitet seit Januar 2014 daran, auf der 
Grundlage von 13 Empfehlungen Da- 
tenübertragungen für EU-Bürger si- 
cherer zu machen. Im Anschluss an das 
Urteil des Gerichtshofes hat die Kom- 
mission die Verhandlungen mit den 
Vereinigten Staaten über einen neuen 
und sicheren Rahmen für die Übermitt- 
lung personenbezogener Daten intensi- 
viert. Ziel der Kommission ist es, die 
Gespräche innerhalb von drei Monaten 
abzuschließen. 

In der Zwischenzeit müssen Unter- 
nehmen das Urteil befolgen und nach 
Möglichkeit auf alternative Datenüber- 
mittlungsinstrumente zurückgreifen. 
Wie bereits vom ersten Vizepräsidenten 
Timmermans und von Kommissionsmit- 
glied Jourova am Tage des Urteilsspru- 
ches angekündigt, hat die Kommission 
heute Leitlinien für die Übergangszeit 
bis zur Annahme eines neuen Rechtsrah- 
mens veröffentlicht. In der betreffenden 
Mitteilung der Kommission werden die 
Folgen des Urteils analysiert und alter- 
native Verfahren für die Übermittlung 
von personenbezogenen Daten in die 
Vereinigten Staaten erörtert. Die Kom- 
mission wird zudem weiterhin eng mit 
den unabhängigen Datenschutzbehör- 
den zusammenarbeiten, um eine einheit- 
liche Umsetzung des Urteils sicherzu- 
stellen. 

Vizepräsident Andrus Ansip (zustän- 
dig für den digitalen Binnenmarkt) sagte 
dazu: „Wir brauchen ein Abkommen mit 
unseren US-amerikanischen Partnern in 
den nächsten drei Monaten. Die Kom- 
mission ist aufgefordert worden, rasch 
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zu handeln, und genau das werden wir 
tun. Wir legen heute klare Leitlinien vor, 
und wir setzen uns einen festen zeit- 
lichen Rahmen für den Abschluss der 
Verhandlungen. Die EU und die Verei- 
nigten Staaten sind der wichtigste Han- 
delspartner füreinander. Datenströme 
zwischen unseren Kontinenten sind von 
wesentlicher Bedeutung für Menschen 
und Unternehmen. Auch wenn es alter- 
native Möglichkeiten gibt, ist ein siche- 
rer neuer Rahmen doch die beste Lösung 
für den Schutz unserer Bürger und zum 
Bürokratieabbau für Unternehmen und 
insbesondere für junge Unternehmen.“ 

Kommissionsmitglied Vera Jourovä 
ergänzte: „ Die Bürger brauchen robuste 
Garantien für den Schutz ihrer Grund- 
rechte, und die Unternehmen brauchen 
Klarheit in dieser Zwischenzeit. Des- 
halb möchten wir heute erläutern, unter 
welchen Bedingungen Unternehmen auf 
rechtmäßige Art und Weise vorüberge- 
hend Daten übermitteln können. Wir 
werden auch weiterhin eng mit den na- 
tionalen Datenschutzbehörden zusam- 
menarbeiten, die für die Durchsetzung 
der Datenschutzvorschriften in den 
Mitgliedstaaten verantwortlich sind. Ich 
habe die laufenden Gespräche mit den 
Vereinigten Staaten über einen neuen 
und soliden Rahmen für transatlantische 
Datenübermittlungen intensiviert und 
werde die Gespräche nächste Woche in 
Washington fortführen. Ein etwaiges 
neues Abkommen muss die Bestimmun- 
gen des EuGH-Urteils erfüllen.” 

In der Mitteilung hebt die Kommissi- 
on folgende Punkte hervor: 


- Das Safe-Harbor-Abkommen kann 
nicht mehr als Rechtsgrundlage für 
die Übermittlung personenbezogener 
Daten in die Vereinigten Staaten die- 
nen. 

- Die Kommission wird die Verhandlun- 
gen über einen neuen und soliden Rah- 
men fürtransatlantische Übermittlun- 


gen personenbezogener Daten fortset- 
zen und zum Abschluss bringen, wobei 
dieser Rahmen die Anforderungen des 
Urteils erfüllen muss, insbesondere in 
Bezug auf die Beschränkungen und 
Garantien bezüglich des Zugriffs auf 
personenbezogene Daten durch die 
US-amerikanischen Behörden, 
Darüber hinaus werden weitere Ange- 
messenheitsbeschlüsse geändert wer- 
den müssen, damit die Datenschutzbe- 
hörden der Mitgliedstaaten auch künf- 
tig Beschwerden von Einzelpersonen 
ungehindert nachgehen können. 


In der Mitteilung werden alternative 
Grundlagen für die Übermittlung perso- 
nenbezogener Daten in die Vereinigten 
Staaten dargelegt, ohne der Unabhän- 
gigkeit und den Befugnissen der Daten- 
schutzbehörden der Mitgliedstaaten zur 
Prüfung der Rechtmäßigkeit einer sol- 
chen Datenübermittlung vorzugreifen. 
Datenübertragungen von Unternehmen 
können derzeit auf folgenden Grundla- 
gen erfolgen: 


- Vertragliche Regeln: Vertragliche Re- 
geln müssen bestimmte Pflichten (z.B. 
Sicherheitsmaßnahmen, Benachrichti- 
gung der betroffenen Person, Sicher- 
heitsvorkehrungen bei der Übermitt- 
lung sensibler Daten usw.) vorsehen. 
Mustervertragsklauseln sind hier ver- 
fügbar. 

- Verbindliche unternehmensinterne 
Vorschriften für unternehmensgrup- 
peninterne Datenübermittlungen: 
Auf der Grundlage derartiger Vor- 
schriften können personenbezogene 
Daten unbegrenzt zwischen den Un- 
ternehmen einer weltweit operieren- 
den Unternehmensgruppe übermittelt 
werden. Die Übermittlungen bedürfen 
jeweils der Zustimmung der Daten- 
schutzbehörde des Mitgliedstaats, aus 
dem das multinationale Unternehmen 
Daten übermitteln möchte. 
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Ausnahmeregelungen: 
Datenübermittlung zum Abschluss 
oder zur Erfüllung eines Vertrags [ein- 
schließlich vorvertraglicher Situatio- 
nen, beispielsweise zur Buchung eines 
Flugs oder eines Hotelzimmers in den 
Vereinigten Staaten]; 
Durchsetzung oder Verteidigung von 
Rechtsansprüchen; 
(falls kein anderer Grund besteht:) 
Datenübermittlung bei aus freien Stü- 
cken und in voller Sachkenntnis erfol- 
gender Zustimmung der betroffenen 
Person. 


Hintergrund 

Der Europäische Gerichtshof hat in 
seinem Urteil vom 6. Oktober in der 
Rechtssache Schrems die SafeHarbor- 
Entscheidung der Kommission für un- 
gültig erklärt. Durch das Urteil wurden 
die seit November 2013 unternommenen 
Bemühungen der Kommission um eine 
Überarbeitung des Safe-Harbor-Abkom- 
mens mit dem Ziel eines nach EU-Recht 
hinreichenden Datenschutzes bestätigt. 

Am 15. Oktober trafen Vizepräsident 
Ansip sowie die Kommissionsmitglie- 
der Öttinger und Jourovä mit Vertretern 


Neuer DVD-Vorstand gewählt 


Das Jahr 2014 endete für den DVD- 
Vorstand bekanntlich etwas holprig, 
nachdem unsere langjährige Vorstands- 
vorsitzende Karin Schuler und auch un- 
ser Beisitzer Karsten Neumann aus dem 
Vorstand zurückgetreten waren. Karin 
Schuler hat ihre persönlichen Gründe 
dazu auch in einer Mitgliedernachricht 
erläutert. Mit dem vom Vorstand darauf- 
hin neu gewählten Vorsitzenden Sönke 
Hilbrans und mit Frank Spaeing als neu- 
em stellvertretenden Vorsitzenden haben 
wir das für den ganzen Vorstand arbeits- 
reiche Datenschutzjahr 2014/2015 be- 
wältigt. Höhepunkte waren dabei der 
Umzug in eine neue Geschäftsstelle und 
die Planung einer fulminanten Jahresta- 
gung. Dass wir diese letztlich im Okto- 
ber nicht durchführen konnten, bedau- 
ern wir noch heute sehr. Weder die viele 
notwendige Organisationsarbeit, noch 
dieser Rückschlag haben uns allerdings 
im ausgehenden Jahr davon abgehalten, 
uns als Vorstand neu aufzustellen: 

So traten bei der Mitgliederversamm- 
lung am 11. Oktober 2015 in Bonn neue 
Kandidatinnen und Kandidaten für die 
zu besetzenden Vorstandsämter an und 
wurden gewählt: Frank Spaeing (Halle/ 
Saale) tritt nach einem Jahr als Stellver- 
treter nunmehr die Nachfolge von Sönke 
Hilbrans (Berlin) als Vorsitzender an. Er 
ist freiberuflicher Datenschutzberater 
und gehört dem Vorstand seit 2013 an. 
Frank Spaeing betreut seit Jahren die 
Website der DVD und ist zugleich lang- 
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jähriges Mitglied im Berufsverband der 
Datenschutzbeauftragten Deutschlands 
(BvD) e.V.. Stellvertreterin des Vorsit- 
zenden und Kassiererin ist Jaqueline Rü- 
diger (Dortmund), die hauptberuflich mit 
dem Datenschutz in der Datenschutzab- 
teilung eines großen Energieversorgers 
befasst ist. Auch Jaqueline Rüdiger, die 
sich schon zuvor in der DVD engagiert 
hatte, gehört dem Vorstand seit 2013 an. 
Sie übernimmt von dem durch Zeitab- 
lauf aus dem Vorstand ausgeschiedenen 
Kassenwart Robert Colombara intakte 
Vereinsfinanzen und hat ihren Vorgänger 
schon im Laufe des ausgehenden Jahres 
unterstützt. Mit Werner Hülsmann (Is- 
maning) ist ein erfahrener freiberuflicher 
Datenschutzberater und Aktivist eben- 
falls zum stellvertretenden Vorsitzenden 
gewählt worden. Werner Hülsmann hatte 
in der Vergangenheit bereits dem DVD- 
Vorstand als Beisitzer angehört gehabt, 
war Mitglied in der Jury der Big Brother 
Awards und engagiert sich auch beim AK 
Vorrat, im FiFF und vertritt die DVD bei 
EDRi. Neben dem DANA-Layouter und 
Künstler Frans Valenta (Bonn), welcher 
in den Vorstand wiedergewählt wurde, 
und dem FORBIT-Geschäftsführer Rein- 
hard Linz (Bonn) verstärkt neuerdings 
auch wieder unser langjähriger ehema- 
liger Vorsitzender Dr. Thilo Weichert 
(Kiel) als Beisitzer den Vorstand. Sönke 
Hilbrans wurde ebenfalls als Beisitzer 
in den Vorstand gewählt. Wir freuen uns 
ganz besonders darüber, dass Thilo Wei- 


der Unternehmen und der Industrie zu- 
sammen. Dabei forderten letztere eine 
klare und einheitliche Auslegung des 
Urteils und mehr Klarheit über die ihnen 
für Datenübermittlungen zur Verfügung 
stehenden Instrumente. 

Am 16. Oktober veröffentlichten die 
28 Datenschutzbehörden der Mitglied- 
staaten (Artikel-29Datenschutzgruppe) 
eine Erklärung über die Folgen des Ur- 
teils. 


Weitere Informationen: 
MEMO/15/6014 


chert nach Jahren einer zugegebenerma- 
Ben ebenfalls nicht ganz unbedeutenden 
Rolle in der deutschen Datenschutzland- 
schaft wieder zurück in den ehrenamtli- 
chen Datenschutz gefunden hat. Sie kön- 
nen es schon dieser Ausgabe der DANA 
anmerken. 

Das neue Vorstandsteam ist damit 
nicht mehr so rheinisch besetzt wie in 
den Jahren zuvor und hat auch schon 
seine erste, außerordentliche Vorstands- 
sitzung in Dortmund abgehalten. Wir 
treffen uns als Vorstand (wozu Sie als 
Mitglieder herzlich eingeladen sind) 
nach dem derzeitigen Planungsstand am 
16. Januar 2016 in Berlin, am 23. April 
2016 voraussichtlich in Bielefeld und im 
Sommer 2016 an einem noch zu bestim- 
menden Ort. Bitte denken Sie auch an 
die ULD-Sommerakademie am 19. Sep- 
tember 2016 in Kiel und die Vorstands- 
sitzung/Mitgliederversammlung der 
DVD am 22./23. Oktober 2016 in Bonn. 
Der neue Vorstand freut sich auf seine 
Arbeit und steht seinen Mitgliedern für 
Anregungen und Mitwirkung selbstver- 
ständlich gerne zur Verfügung. Sie errei- 
chen uns in unserer neuen Geschäftsstel- 
le in der Reuterstraße 157, 53113 Bonn, 
unter den unverändert gebliebenen 
Kontaktdaten (Tel.: 0228/222498, Fax: 
0228/2438470; dvd@datenschutzverein. 
de; www.datenschutzverein.de); wir 
freuen uns auf Ihre Mitwirkung. 


Für den Vorstand — Sönke Hilbrans 
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Dr. Udo Kauß 


Das In-Camera-Verfahren bei den 
Verwaltungsgerichten 


zur Geschichte und zu seiner aktuellen Praxis, zugleich Besprechung des 
Beschlusses des BVerwG vom 27.10.2014 (20 F 6.14) 


I. Die Einführung des In-Camera- 
Verfahren: ein erster Schritt 


Bis 1999 gab es keine gerichtliche 
Kontrolle der Geheimdienste zu Sach- 
verhalten, die nicht etwa via Presse 
bzw. die nicht schon selbst von den Ge- 
heimdiensten bekannt gemacht worden 
sind. Kein Beamter des Verfassungs- 
schutzes musste Gerichten Frage und 
Antwort stehen, wenn der Innenmi- 
nister dies nicht durch Erteilung einer 
Ausnahmegenehmigung erlaubt hatte. 
Wurde diese versagt, dann war hier der 
Rechtsstaat zu Ende. Dies galt auch, 
wenn Verwaltungsgerichte das bei Kla- 
geverfahren sonst selbstverständliche 
Recht der Vorlage der Verwaltungs- 
akten bei den Geheimdiensten einfor- 
derten. Die Geheimdienste konnten 
dies verweigern, gestützt auf eine sog. 
Sperrerklärung des zuständigen Innen- 
ministers. Und damit war die gericht- 
liche Kontrolle zu Ende. Die Dienste 
brauchten sich von keinem Gericht in 
die Karten schauen lassen. 

Das war die Situation bis 1999. In 
diesem Jahr befand das Bundesverfas- 
sungsgericht (BVerfG) den generel- 
len Ausschluss jeglicher gerichtlicher 
Kontrolle der Geheimdienste für unver- 
einbar mit dem verfassungsmäßig ver- 
bürgten Recht auf gerichtliche Kontrol- 
le (Justizgewährleistungsrecht in Art. 
19 Abs. 4 Grundgesetz — Beschluss v. 
27.10.1999, 1 BvR 385/99). Dem folg- 
te der Gesetzgeber im Jahre 2001 mit 
der Einführung von besonderen Fach- 
senaten bei den obersten Verwaltungs- 
gerichten (Oberverwaltungsgerichte, in 
manchen Bundesländern auch Verwal- 
tungsgerichtshöfe genannt, und dem 
Bundesverwaltungsgericht). Seither 
müssen auch die Geheimdienste die 
vollständigen Akten eines konkreten 
Falles diesen neu gebildeten Fachse- 
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naten vorlegen, wenn ein Verwaltungs- 
gericht sich sonst nicht in der Lage 
sieht, über die Rechtmäßigkeit des ge- 
heimdienstlichen Handelns zu befinden 
($ 99 Abs. 2 VwGO). 

Die Fachsenate überprüfen nun - in 
camera = in einer eigenen Kammer 
— in nicht-öffentlicher und geheimer 
Sitzung unter Ausschluss des klagen- 
den Bürgers, ob die Verweigerung der 
Aktenvorlage an das Verwaltungsge- 
richt durch die (zahlreichen) gesetzli- 
chen Ausschlussgründe gerechtfertigt 
ist. Ausschlussgründe sind, dass die 
verweigerten Akten bzw. Aktenteile 
„ihrem Wesen nach“ geheim seien, sie 
dem „Quellenschutz“ unterliegen, weil 
z. B. den Spitzeln Vertraulichkeit zuge- 
sichert worden ist, weil das „Wohl des 
Bundes oder eines Landes“ tangiert sei, 
oder weil generell der „Schutz der Ar- 
beitsweise“ geltend gemacht wird. 

Das Wesentliche und Neue ist: Diese 
Fachsenate können als einziges Gericht 
und überhaupt einzige Institution außer- 
halb der Dienste die Vorlage der bisher 
zurückgehaltenen Aktenteile an die in 
der Sache befassten Verwaltungsgerich- 
te anordnen, wenn sie, nun in Kenntnis 
der Akten, nicht den Geheimhaltungs- 
szenarien der Dienste folgen. Und die 
Dienste müssen ab sofort damit leben, 
dass es nun immerhin eine gerichtliche 
Instanz gibt, die die Akten eines kon- 
kreten Streitfalles vollständig in Au- 
genschein nehmen darf. Damit hatte 
Deutschland endlich den Standard er- 
reicht, wie er insbesondere in den USA 
und skandinavischen Ländern längst er- 
reicht war. 


I. Bisherige Erfahrungen 
Die Erfahrungen nach 15 Jahren neu- 


er Rechtslage sind durchweg ernüch- 
ternd. Dem Autor ist kein Fall bekannt, 


in dem die Fachsenate wirklich essenti- 
elle neue Fakten haben bekannt werden 
lassen. Als jüngstes Beispiel kann der 
Beschluss des Verwaltungsgerichts- 
hofes für Baden-Württemberg vom 
26.03.2015 (Az: 14 S 310/15) genom- 
men werden. Dort hat die Einschaltung 
des Fachsenats dazu geführt, dass aus 
den zu prüfenden 700 qua ministeri- 
elle Sperrerklärung umfänglichst ge- 
schwärzten Aktenseiten so „geheime“ 
Informationen wie die Namen zweier 
früherer Justizminister des Landes wie- 
der entschwärzt und damit offenbart 
werden sollen. Betroffener Bürger war 
in diesem Fall ein Freiburger Rechts- 
anwalt und langjähriges Gemeinde- 
ratsmitglied, der über 40 Jahre vom 
Verfassungsschutz beobachtet worden 
war (vgl. DANA 4/2014, S. 172). Beim 
In-Camera-Verfahren des ebenfalls 38 
Jahre geheimdienstlich beobachteten 
Geheimdienstkritikers und Rechtsan- 
walts Rolf Gössner war der Fachsenat 
des Bundesverwaltungsgerichts im Jah- 
re 2009 noch vollständig der Schwär- 
zungsorgie des Verfassungsschutzes 
gefolgt. Von immerhin rd. 2000 zu 90 % 
geschwärzten Seiten der über Gössner 
angelegten Verfassungsschutzakte wur- 
de nicht ein Komma als offenbarungs- 
fähig befunden. Die Entscheidung des 
Bundesverwaltungsgerichts (BVerwG) 
vom 27.10.2014 deutet nun einen hof- 
fentlich nicht nur kosmetischen Ge- 
sinnungswandel an. Sie belegt einen 
Abgrund von Geheimnistuerei des Ver- 
fassungsschutzes, zu deren Verdeckung 
das Bundesverwaltungsgericht sich 
nicht hat hergeben lassen. 


III. BVerwG: Verfassungsschutz 
täuscht Verwaltungsgericht! 


Durch das 2001 bei den Verwal- 
tungsgerichten eingeführte In-Came- 
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ra-Verfahren ist die Offenbarung eines 
unverfrorenen Falles einer Datenver- 
schleierung gelungen: In einem Verfah- 
ren auf Auskunft der beim Bundesamt 
für Verfassungsschutz über den Kläger 
gespeicherten Daten hat das beklag- 
te Bundesamt für Verfassungsschutz 
mit ausdrücklicher Zustimmung des 
Bundesministers des Inneren (BMI) 
dem Verwaltungsgericht Köln einen 
geschwärzten NADIS-Ausdruck über 
den Kläger vorgelegt. Dieser NADIS- 
Ausdruck war gemäß der Sperrerklä- 
rung des BMI genau an der Stelle ge- 
schwärzt, wo sonst die Hinweise auf 
sonstige aktenführende Sicherheits- 
behörden angebracht sind. Die Exis- 
tenz solcher Hinweise hatte der Kläger 
vermutet, der als Computerfachmann 
über 10 Jahre im sicherheitsgeprüften 
Bereich gearbeitet hatte. Weil er die 
Richtigkeit der zuvor vom Verfassungs- 
schutz im Jahre 2011 erteilten schriftli- 
chen Auskunft bezweifelte und vermu- 
tete, dass über die Hinweis-Daten zu 
seinen zwei Sicherheitsüberprüfungen 
hinaus keine weiteren Daten zu seiner 
Person im „Nachrichtendienstlichen 
Informationssystem“ (NADIS) gespei- 
chert seien, klagte er auf vollständige 
Auskunft über die zu seiner Person vom 
Verfassungsschutz gespeicherten Daten. 
Im Prozess hat das Verwaltungsgericht 
Köln dem Verfassungsschutz aufgege- 
ben, den angeblich einzig noch existie- 
renden NADIS-Ausdruck zur Person 
des Klägers vorzulegen. Dem hat sich 
das Bundesamt zunächst vollständig 
verweigert. Als das Gericht nicht locker 
gelassen hat, hat das Bundesamt einen 
geschwärzten Ausdruck zusammen mit 
einer Sperrerklärung des BMI vorge- 
legt. Begründung des BMI: das Be- 
kanntwerden der geschwärzten Infor- 
mationen würde dem Wohl des Bundes 
oder eines Landes Nachteile bereiten 
bzw. die Vorgänge müssten nach einem 
Gesetz oder ihrem Wesen nach geheim 
gehalten werden ($ 99 Abs. 1 VwGO). 
Das BVerwG hat das Geheimnis der 
Schwärzungen gelüftet und zu aller Er- 
staunen festgestellt, dass dort gar nichts 
zu verdecken war. Offensichtlich sollte 
dem Verwaltungsgericht und sodann 
dem Betroffenen gegenüber die Tatsa- 
che weiterer Speicherungen bei anderen 
Sicherheitsbehörden suggeriert wer- 
den, obwohl das Amt gar nichts über 
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den Kläger gespeichert hatte und auch 
keine Hinweise auf Speicherungen aus- 
ländischen Sicherheitsbehörden vor- 
handen waren, wie dies der Kläger ver- 
mutet hatte. Das Bundesverwaltungs- 
gericht hat dieses auf Verunsicherung 
des Klägers angelegten Täuschungs- 
manöver des Verfassungsschutzes und 
Ministeriums nicht mitgemacht und die 
Sperrerklärung des Bundesinnenminis- 
teriums für rechtswidrig erklärt und die 
Vorlage des ungeschwärzten NADIS- 
Ausdruckes angeordnet. 


IV. Erfreuliche Klarstellungen 


Das BVerwG hat dem Verfassungs- 
schutz und seinem vorgesetztem Bun- 
desminister des Inneren (BMI) ins 
Stammbuch geschrieben, dass die Tat- 
sache der Einstufung eines NADIS- 
Ausdrucks als Verschlusssache-NfD 
(steht für „nur für den Dienstgebrauch“, 
Red.) ohne Bedeutung ist. „Denn Un- 
terlagen sind nicht schon deswegen 
ihrem Wesen nach oder nach einem 
Gesetz geheim zu halten. Vielmehr 
kommt es darauf an, ob sich nach den 
materiellen Maßstäben des $ 99 Abs. 1 
Satz 2 VwGO eine Geheimhaltungs- 
bedürftigkeit ergibt, ob also der Grund 
für die Einstufung als Verschlusssache 
noch fortbesteht...“ 

Weiter hat sich das BVerwG mit dem 
Argument des BMI auseinandergesetzt, 
aus der Schwärzung folge nicht, dass 
der Auszug — über die zwei offen geleg- 
ten Aktenzeichen der Sicherheitsüber- 
prüfungsakten hinaus — weitere Ak- 
tenzeichen enthalte. Die Schwärzung 
sei, so das BMI, vielmehr unabhängig 
davon erforderlich. Denn andernfalls 
wäre ein „Umkehrschluss“ möglich, 
ob aus operativer Sicht empfindliche 
Informationen zum Kläger über die 
Sicherheitsüberprüfungsakten hinaus 
vorlägen. Diese Denke hat das BVerwG 
klar zurückgewiesen. Zitat: „Mit dieser 
Begründung lässt sich die Schwärzung 
des NADIS-Ausdrucks nicht rechtferti- 
gen. Es ist nicht zu erkennen, dass eine 
vollständige Offenlegung die geheim- 
dienstliche Arbeit erschweren könnte. 
Der Senat hat den NADIS-Ausdruck 
im Original in Augenschein genommen 
und festgestellt, dass die Schwärzung, 
die sich unterhalb der zwei offen ge- 
legten Aktenzeichen befindet, keine ge- 


heimhaltungsbedürftigen Informatio- 
nen betrifft, sondern lediglich an dieser 
Stelle ein leeres Blatt verdeckt... Der 
Beigeladene (das BMI, Red.) bleibt 
eine Erklärung dafür schuldig, warum 
der Umstand, dass im NADIS-Aus- 
druck keine über die erfolgte Offen- 
legung hinausgehenden Erkenntnisse 
zur Person des Klägers dokumentiert 
sind, Rückschlüsse auf ‚aus operativer 
Sicht empfindliche Informationen‘ er- 
laubt. Bei einer Offenlegung erfährt der 
Kläger lediglich, dass im NADIS-Aus- 
druck keine weiteren Verfahren aufge- 
führt sind. Ein darüber hinausgehender 
Erkenntnisgewinn ist damit nicht ver- 
bunden. Die Hinweise des Beigelade- 
nen auf den Gesichtspunkt der ‚Spio- 
nageabwehr‘ oder der ‚Verstrickung‘ 
gehen am Fall vorbei. Es erscheint 
deshalb nicht verständlich, warum die 
Freigabe dieser ‚Passage‘ gleichwohl 
die befürchteten Rückschlüsse auf die 
Informationszugänge der Verfassungs- 
schutzbehörden zulassen soll“. 


V. Einziger Zweck: Angst und Unsi- 
cherheit 


Die Entscheidung des BVerwG offen- 
bart, wie die Geheimdienste und ihre 
vorgesetzten Aufsichtsbehörden ihre 
Geheimhaltungsinteressen auch heute 
noch verstehen. Jeder Schritt zu mehr 
Transparenz muss mühevollst erkämpft 
werden. Gesetzliche Vorschriften — das 
gesetzliche Auskunftsrecht des Bürgers 
auch gegenüber den Sicherheitsbehör- 
den und das gerichtliche In-Camera- 
Verfahren — werden durch die Geheim- 
dienste, hier das Bundesamt für Verfas- 
sungsschutz, konterkariert, wo dies nur 
möglich ist. Und sei es nur zu dem einzi- 
gen in diesem Fall ersichtlichen Zweck: 
bei dem betroffenen Bürger Angst und 
Unsicherheit zu erzeugen. 


VI. Skandal im Skandal 


Das Bundesamt für Verfassungs- 
schutz und der Bundesinnenminister 
hatten sich darauf 10 Monate gewei- 
gert, der Anordnung des Bundesver- 
waltungsgerichts nachzukommen und 
den ungeschwärzten NADIS-Ausdruck 
vom 13.03.2013 dem Verwaltungsge- 
richt vorzulegen. Im August 2015 wur- 
de schließlich, nach mehrfacher dringli- 
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cher Aufforderung des Verwaltungsge- 
richts (VG), diesem ein ungeschwärz- 
ter NADIS-Ausdruck vorgelegt. Und 
nun nimmt eine weitere Ungeheuer- 
lichkeit ihren Lauf: Durch Vergleich 
der sichtbaren Teile des geschwärzten 
NADIS-Ausdrucks vom 13.03.2013 
mit dem dem BVerwG vorgelegten 
NADIS-Ausdruck vom 04.02.2014 
mussten erhebliche Abweichungen von 
Schriftbild und Reihenfolge der auf- 
geführten Daten festgestellt werden. 
Diese führten zu dem begründeten Ver- 
dacht, dass das Bundesamt dem BVer- 
wG einen anderen über ein Jahr später 
gefertigten NADIS-Ausdruck über den 
Kläger vorgelegt hat. Das Bundesamt 
für Verfassungsschutz hat in der münd- 
lichen Verhandlung vor dem VG Köln 
am 01.10.2015 zu Protokoll eingeräumt 
und zugestanden, dass dem BVerwG 
im angestrengten In-Camera-Verfahren 
ein unrichtiger NADIS-Ausdruck vor- 
gelegt worden war. Das wäre aber aus 
Versehen geschehen durch eine über- 
eifrige Fachabteilung, die ohne Betei- 


ligung des Justiziariats des Bundesam- 
tes einen Ausdruck gefertigt und dem 
Bundesverwaltungsgericht übermittelt 
habe. Damit steht fest: Der Verfas- 
sungsschutz hat dem Bundesverwal- 
tungsgericht nicht den ursprünglichen 
(und geschwärzten) NADIS-Ausdruck 
vom 13.03.2013 vorgelegt. Vielmehr 
hat der Verfassungsschutz dem Bun- 
desverwaltungsgericht einen ein Jahr 
später hergestellten Ausdruck vom 
04.02.2014 vorgelegt und diesen neu 
hergestellten NADIS-Ausdruck für 
die Vorlage beim BVerwG eigens wie- 
derum eingeschwärzt. Wie hatte noch 
das BVerwG zu diesem wiederum ge- 
schwärzten NADIS-Ausdruck ausge- 
führt (Rn. 9): 

„Der Senat hat den NADIS-Ausdruck 
im Original in Augenschein genommen 
und festgestellt, dass die Schwärzung, 
die sich unterhalb der zwei offen ge- 
legten Aktenzeichen befindet, keine ge- 
heimhaltungsbedürftigen Informationen 
betrifft, sondern lediglich an dieser Stel- 
le ein leeres Blatt verdeckt.“ 


Durch seine Trickserei hat der Ver- 
fassungsschutz nicht nur den Kläger 
und das VG Köln an der Nase herum- 
geführt, sondern auch noch das Bundes- 
verwaltungsgericht, das seine Entschei- 
dung auf der Grundlage eines falschen 
NADIS-Ausdruck gefällt hat. Damit 
hat der Verfassungsschutz verhindert, 
dass jemals die Wahrheit über den ge- 
schwärzten Inhalt im NADIS-Ausdruck 
vom 13.03.2013 ans Tageslicht kommt. 
Kommentar des Vorsitzenden Richters 
beim VG Köln: Bei den Geheimdiens- 
ten sei das eben so. Auch Gerichte wür- 
den bei Geheimdiensten nicht wirklich 
hinter die Kulissen schauen können. 
Damit müsse sich auch der Kläger ab- 
finden. Das alles ist ein erneuter Beweis 
dafür, dass Geheimdienste weder ge- 
richtlich (noch parlamentarisch) kont- 
rollierbar und daher demokratie-inkom- 
patibel sind (Der vollständige Beschluss 
des BVerwG ist abrufbar unter http:// 
www.bverwg.de/entscheidungen/ 
entscheidung.php?ent=271014 
B20F6.14.0). 
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die Bundesrepublik Deutschland, 
vertreten durch das Bundesamt fr Verfessungsschutz, 
Meranstraße 100, 50785 Kan. 


Beklagte und Antragsgegnerin, 
Beigeladaner 


Bundesminiserlum dee Innem, 
Au'Moabi 101 D, 10659 Bein 


des Bundesverwaltungegeichts. 
für Enis Innach $80Abs. 2 VnGO 


am 27, Oklober 2014 
(durch den Vorstzenden Richter am Bundesverwakungsgercht Neumann 
und die Richlerinnen am Bundesverwalungsgecht Dr Bumke und Dr. Kuhlmann 


beschlossen! 


Die Sperrrkarung des beigelasenen Bundeamiiterums 
(des Innem vom 10. Jul 2014 st een, 


Gründe 


(das Vonvatungsgeich ls Gericht dar Hauptsache einen (nunmehr) begründeten 
Beweisbeschluss und forderte die Beklagte auf, den NADIS-Auschuck betrffond 


gericht mi, 


tage jr 
amt für Verassungsschutz Im NADIS-Ausdruck ausgewiesenen Unterlagen vorge- 
jegt worden. 


1.2013 einen teeise geschwärzten Ausdruck des NADIS-Ausdhucks vorge- 
jegt hat. venveigete mit Spererkläung vom 10. du 2014 ereut ie Vorlage des 
Ausdruck ohne Schwärzung und nahm zur Begründung Bezug auf se Sparrr- 
arung vor 1.2013, 


Klägers, festzusllen, dass die Weigerung des beigeladenen. 
Yiums des Inner rechtswidrig st, dan NADIS-Ausdruck vollstandig 
ung vorzulegen, it zulässig und begründet. 


Die Sporerkärung is rechsudig. Dor Fachsenat kann nicht fsttelen, dass 
Gründe voriegen, welche ie strelige Schwärzung des NADIS-Ausdnicks recht- 
ferigen 


Die oberste Aufslclsbehörde kann nach $ 99 Abs. 1Satz 2 VGO die Vorlage 
von Urkunden oder Akten, die Übermitlung elektronischer Dokumente oder ie. 
Eteiung von Auskünften verweigen, wann das Bekanntwerden Ihres Inhalte dem 
Wohl es Bundes oder eines Landes Nachteile been würde oder wenn die 
Vorgänge nach einem Gesetz oder Ihrem Wesen nach geheim gehalten werden 
müssen, 


Die Tatsache der Einstufung des NADIS-Ausdrucks als Verschlusesache-NID et 


14. Juni 2012- BVerwG 20F 10.11 -Jurs Rn. 7 und vom 7. August 2019 
„BVerwG 20 F 9,12 Jura An. 1a) 
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Ein Nachteil für das Wohl des Bundes oder eines Landes im Sinne von 589 
Abs. 1 Satz 2 VwGO st unter anderem dann gegeben, wenn und soweit ie B- 
\kanntgabe des Akteninhats die künfige Erilung der Aufgaben der Sicherheits 


hoden hrar Zusammenarbeit mit anderen Sie ableiten Iossen (Beschluss vom 
4, Marz 2010- BVerwG 20 F 309- Ju Rn. 6). Zu schen Rückschlissen grund- 
sätzich geeignet ind beispielsweise Vorgangsvorbiäte, Aklenzeichen, Organise- 
ionskennzeichen und Arbeits, Verfügungen und namentiche Hinweise auf Be- 


Arber, Alenvermerke, Arbetshinweise, Randbemerkungen und Querverweise. 
sowie Hervorhebungen und Untersreichungen. 


Das beigelacene Bundesministenum des Innem tragt vr. aus der Schwärzung, 
100 nicht, dass der Auszug - ber die zwei ofen gelaglen Aktenzeichen der S- 
(herneitsüberprüfungsakten hinaus - weitere Akenzeichen entale. De Schwär 
zung sei vielmehr unabhängig davon erfoerich, Denn andernfalk wäre en „Um- 
kehrschluss' möglich, ob aus operativer Sicht empfindliche Informationen zum 
Kläger über ie Sicherhetsüberprüfungsakten hinaus vrlägen. 


Mu ieser Begründung lässt sich de Schwärzung dee NADIS-Ausdrucks nicht 
Frechifertgen. Es it nicht zu erkennen, dass eine volständige Offenlegung ie ge- 


heimdient . hat den NADI 


a 
ungsbedürtigen Informationen betr, sondem lediglich an dieser Stel ein iee- 
res Bat verdeckt, 


Geschwärzt werden dürfen zwar such Tade eines Dokuments, die für ich ge 
nommen nicht geheimhalungsbedürtig sind, ie aber a dem konkreien Zu 
Sammenhang heraus Rückschlüss auf geheimhatungsbedürfige Informationen 
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etauben. So ist es nicht zu beanstanden, wenn sich - in Einzeifälen - Schwärzun- 
gen etwa von Untersireichungen oder Randzeichen nicht auf eine Unkenntichma. 
hung an der konkreien Ste beschränken, sondern auch darier hnausgreifen, 
wel andernfall Rückschlüsse im Hinblck auf das konktete Ertennnisinteresse 
Sowie die Arbeitsmeihode einer nschichteneienslichen Behörde möglich wären 
(Beschuss vom 1. Februar 2011 - BVerwG 20 F 17.10 «Juris Rn. 5) Entschektend 
ist, ob mi einer Oflnlegung ein Erkenntlsgawin in Bezug auf den berechtigten 
jemhaltungsgrund verbunden ist (gl uch Beschluss vom 1. August 2011 
28.10 -Juis Rn. 10) Danach können auch Schwärzungen von 
[Leerstellen in einem Dokument gerechtfertigt sein. Zur Begründung genügt es 


ber nicht, pauschal auf einen möglichen „Umkehrschlus” zu verweisen. 


Der Beigeladene bit eine Ekdärung dafür schullg, warum der Umstand, dass 
im NADIS-Ausdhuc keine über di erfigte Offenlegung hinausgehenden Er- 
Kenntnisse zur Person des Klägers dokumentiert ind, Rückschlüsse auf ‚aus ope- 
Falver Sicht empfindliche Informationen“ eriaub, Bi einer Offenlegung erfahrt der 
NADIS-Ausdruck keine weiteren Verfahren aufgeführt 


ch, warum die Frigabe dieser ‚Passage‘ gleichwohl die befürchtete Rück 
Schlüsse auf ie Ifornaiönszugänge der Verfastungsschutzbehörden zulassen 


2. Darüberhinaus sind auch die Emessenserwägungen nicht ragfätig. De Bei 
geladene verkennt ie Eigenständigkeit der im Rahmen des $ 08 Abs, 

VuGO geforderten Ermessensauslbung. In der Sprrriärung wird zwar der 
Maßstab für die Ermessensausübung zutreffend wiedergegeben (vl. dazu nur 
Beschlass vom 21. Februar 2008 - BVerwG 20 F 2.07- BVerwG 130,238 «Jun 
In. 18). Der Beigeiaene beschränkt ich dann aber darauf, eich ie bereits 
angeführten Gründe für ie behaupiete Geheimhalungsbedürigket zu 


Ermessensausübung zu bercksichligen gewesen wären. 


-e- 


3. Einr oigenständigen Kostenentscheilung bedarf es im Verfahren vor dem 


ührentatbestand in Verfahren vor dem Fachsenat nich anfallen. 


Neumann Dr. Bumke Dr. Kuhlmann 


Beglausigt 


InWUrkundebeamter der Geschäftsstelle 
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Werner Hülsmann 


Democracy — Im Rausch der Daten 


Nicht nur eine Filmbesprechung 


Die Berlin-Premiere dieses Films, 
der seit dem 12. November in eini- 
gen Kinos läuft, fand im Beisein des 
Regisseurs David Bernet und der Pro- 
tagonisten Viviane Reding (Vizeprä- 
sidentin der Europäischen Kommis- 
sion a.D., Mitglied des Europäischen 
Parlaments) und Jan Philipp Albrecht 
(Europaabgeordneter der Grünen, 
EU-Berichterstatter) samt seinem 
Mitarbeiter Ralf Bendrath sowie Dr. 
Alexander Dix, Berliner Beauftragter 
für Datenschutz und Informationsfrei- 
heit, am 6. November 2015 in der gut 
besuchten Urania statt. 

Die Farbfilm Verleih GmbH, 
schreibt über den — in schwarz/weiß 
gehaltenen Film — zutreffend: „Mit 
DEMOCRACY - IM RAUSCH DER 
DATEN eröffnet uns Regisseur David 
Bernet einen erstaunlichen Einblick 
in den Gesetzgebungsprozess auf 
EU-Ebene. Eine fesselnde und hoch- 
brisante Geschichte über eine Handvoll 
Politiker, die versucht, die Gesellschaft 
in der digitalen Welt vor den Gefahren 
von Big Data und Massenüberwachung 
zu schützen.“ Jan Philipp Albrecht hat 
als Berichterstatter des LIBE-Ausschus- 
ses die — zeitweise kaum realisierbar 
wirkende — Aufgabe, nicht nur die fast 
4.000 Änderungsanträge in den Kom- 
missionsentwurf einzuarbeiten, sondern 
zusammen mit den sogenannten Schat- 
tenberichterstattern der anderen Frak- 
tionen einen Kompromiss zu finden, 
der erst im Ausschuss und dann auch 
im Parlament eine große Mehr- 
heit finden kann. Vertreterinnen 
und Vertreter unterschiedlicher 
Lobbygruppen kommen in dem 
Film ebenso zu Wort, wie Spre- 
cherinnen und Sprecher von Da- 
tenschutzorganisationen, deren 
unterschiedliche Interessen gut 
dargestellt werden. 

Auch wenn den meisten Zu- 
schauerinnen und Zuschauern 
bereits bekannt gewesen sein 
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IM RAUSCH DER DATEN © 


Se en 
dürfte, wie das Ergebnis dieser Arbeit — 
nämlich die vom EU-Parlament vorge- 
schlagene Fassung des Verordnungsent- 
wurfs — aussieht, ist der Film spannend 
und aufschlussreich. Das Endergebnis 
des Gesetzgebungsprozesses — also die 
vom Rat und vom EU-Parlament ver- 
abschiedete EU-Datenschutzgrundver- 
ordnung — lag zum Zeitpunkt des Re- 
daktionsschlusses noch nicht vor. Auch 
dies ist exemplarisch für den europä- 
ischen Gesetzgebungsprozess. In kei- 
nem demokratischen Staat muss noch 
ein Ministerrat über ein vom Parlament 


Dammaım. 


OT  beschlossenes Gesetz entscheiden, 


damit es veröffentlicht und in Kraft 
treten kann. 

In dem anschließendem von Dr. 
Wolf Siegert moderierten Publi- 
kumsgespräch wurde unter anderem 
deutlich, dass die Verhandlungen 
im Ministerrat und leider auch die 
Trilog-Verhandlungen an der für 
ein demokratisches Gemeinwesen 
erforderliche Transparenz vermis- 
sen lassen. Auf die eher scherzhafte 
Nachfrage an den Regisseur, ob er 
jetzt einen Teil 2 über die Trilog- 
Verhandlungen drehen würde, ant- 
wortete dieser: Er könne sich nicht 
vorstellen, dass dies möglich sei. 
Während die Abgeordneten des Eu- 
ropaparlaments sehr unbefangen mit 
den Kameras umgingen, sei es doch 
schwierig gewesen, bei Ministerrats- 
sitzungen zu filmen. Reding und Al- 
brecht betonten, dass die Aussagen 

der Minister vor ihren nationalen Par- 
lamenten und in ihren „Sonntagsreden“ 
wenig mit dem zu tun hätten, was sie im 
Rat äußern und fordern. 

Fazit: Der Film ist — unabhängig da- 
von, wie die Trilogverhandlungen aus- 
gehen werden — unbedingt sehenswert 
und stellt am Beispiel der Europäischen 
Datenschutzgrundverordnung sehr gut 
dar, wie Politik in der EU gemacht 
wird. Die unterschiedlichen Interessen 
der verschiedenen Akteure und Lob- 
bygruppen zum Datenschutz werden 
ebenfalls gut deutlich. Daher ist dieser 
Film „ein Muss“ für alle, die 
an Datenschutzpolitik und den 
Europäischen Gesetzgebungs- 
prozessen interessiert sind. 
Dies gilt umso mehr, wenn — 
wie bei vielen Vorführungen 
in Programmkinos - anschlie- 
Bend eine Publikumsdiskussi- 
on stattfindet. 

Weitere Informationen fin- 
den sich auf 
http://www.democracy-film.de/ 
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Datenschutznachrichten aus Deutschland 


Bund 


Merkel gegen zu viel 
Datenschutz 


Bundeskanzlerin Angela Merkel hat 
die deutsche Bevölkerung aufgefordert, 
endlich ihre ständigen Datenschutz-Be- 
denken fallen zu lassen und den Schutz 
ihrer Privatsphäre der Weiterentwick- 
lung der nationalen Wirtschaft unterzu- 
ordnen. Nur so könne man im digitalen 
Zeitalter international mithalten. Die 
umfassende Sammlung und Auswertung 
von Nutzerdaten ist die Grundlage des 
Erfolgsrezeptes von US-Firmen wie 
Google oder Facebook. Deutsche Inter- 
net-Firmen beklagen immer wieder, dass 
die hiesigen Datenschutz-Regelungen 
sie daran hindern, ähnliche Entwicklun- 
gen vollziehen zu können. Laut Merkel 
müsse daher ein Umdenken stattfinden. 

Merkel erklärte auf einem Kongress 
des CDU-Wirtschaftsrates im Juni 2015 
sowie auf einem CDU-Kongress zum 
digitalen Wandel am 12.09.2015: „Wer 
Daten als eine Bedrohung wahrnimmt, 
wer immer nur darüber nachdenkt, wel- 
chen Schaden jedes Stück Information 
anrichten kann, wird nicht in der Lage 
sein, die Möglichkeiten der Digitalisie- 
rung zu seinem Vorteil zu nutzen.“ Big 
Data sei keine Bedrohung, sondern „der 
Rohstoff der Zukunft“. Wertschöpfung 
entstehe künftig nicht mehr hauptsäch- 
lich über die maschinelle Herstellung 
eines Produkts, sondern vor allem über 
die Nutzung von Kundendaten. „Wenn 
wir aber die Verbindung zum Kunden 
dann nicht richtig aufbauen, dann wird 
uns ein wesentlicher Teil der Wertschöp- 
fung verloren gehen.“ Dies werde dann 
„irgendwo in Amerika oder Asien“ statt- 
finden. Der Wettlauf werde in 5 bis 10 
Jahren entschieden sein. 

Wenn die Möglichkeiten, die hier 
entstünden, nicht ausgenutzt werden, 
werde man früher oder später auf große 
Probleme zusteuern. Merkel merkte an, 
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dass im Zuge einer neuen Automatisie- 
rungswelle, die durch neue Entwicklun- 
gen in der IT-Forschung ausgelöst wird, 
zahlreiche Arbeitsplätze verschwinden 
und durch Maschinen ersetzt werden. 
„Aber ich bin zuversichtlich, dass viel 
mehr Arbeitsplätze durch die Wert- 
schöpfung aus Daten geschaffen werden 
können“ (Nicht zu viel Datenschutz, SZ 
14.09.2015, Kahle, Merkel: Deutsche 
sollen Datenschutz für die Wirtschaft 
aufgeben, winfuture.de, 10.06.2015). 


Bund 


Regierungskoalition plant 
verbesserte Geheim- 
dienstkontrolle 


Die parlamentarische Kontrolle der 
Nachrichtendienste soll nach Plänen 
von Union und SPD durch einen „Stän- 
digen Sachverständigen“ mit einem ei- 
genen Apparat verbessert werden. Die 
für Geheimdienstkontrolle zuständigen 
FachpolitikerInnen der großen Koaliti- 
on haben sich hierauf geeinigt und re- 
agieren damit auf wiederholte Geheim- 
dienstaffären sowie die Erkenntnis, dass 
die bisherige parlamentarische Kontrol- 
le der Dienste unzureichend ist. Über 
die Eckpunkte der Reform haben sich 
die zuständigen FachpolitikerInnen der 
Union, Clemens Binninger (CDU) und 
Stephan Mayer (CSU) Eva Högl und 
Burkhard Lischka (SPD) schon vor der 
Sommerpause 2015 geeinigt. 

Abgeordnete hatten immer wieder be- 
klagt, dass ihnen für nachhaltige Kontrol- 
le die Zeit fehlt. Derzeit müssen 13 Per- 
sonen — 9 Abgeordnete des Parlamenta- 
rischen Kontrollgremiums (PKG) und 4 
Mitglieder der sog. G-10-Kommission — 
die Arbeit von mehr als 10.000 deutschen 
GeheimdienstlerInnen kontrollieren. Es 
gibt keinen entsprechend ausgestatteten 
Apparat, der ihnen ausreichend zuarbei- 
ten kann. Die Zustimmung von SPD und 


Union zu den Vorschlägen gilt als sicher. 
Das die Aufsicht über die Geheimdienste 
wahrnehmende Kanzleramt signalisierte 
keine ernsthaften Bedenken. Ein Gesetz- 
entwurf zur besseren Kontrolle der Nach- 
richtendienste mit dem Sachverständi- 
gen-Modell soll bis Ende 2015 in den 
Bundestag eingebracht werden. 

Der „Ständige Sachverständige“, in 
Koalitionskreisen „Geheimdienstbeauf- 
tragter light“ genannt, soll nicht nach 
außen auftreten und keine eigenen öf- 
fentlichen Erklärungen abgeben. Seine 
Aufgabe bestünde in der Unterstützung 
der zuständigen Expertengruppen des 
Bundestages wie das Parlamentarische 
Kontrollgremium, das Vertrauensgremi- 
um und die G-10-Kommission. Er soll 
mit drei bis vier Referaten und 20 bis 30 
Mitarbeitenden ausgestattet werden. Bis- 
lang gibt es nur ein Ausschusssekretariat 
und eine „Task Force“. Einen eigenstän- 
digen Geheimdienstbeauftragten soll es 
nicht geben, weil dieser in Konkurrenz 
zu den parlamentarischen Kontrolleuren 
treten könnte. Anders als bei den bisher 
eingesetzten Sachverständigen, die zu- 
meist ehemalige Bundesrichter mit be- 
grenztem Auftrag waren, soll der Neue 
kein Pensionär sein und dem Parlament 
mindestens für die Dauer einer Legisla- 
turperiode zur Verfügung stehen. Seine 
Besoldung soll vergleichsweise attraktiv 
sein. Ermittlungsrichter am Bundesge- 
richtshof, Bundesanwälte oder erfahrene 
Oberstaatsanwälte kämen bei einer Stel- 
lenausschreibung als Kandidaten infrage 
(Leyendecker/Mascolo, Mehr Kontrolle 
über Geheimdienste, Prantl, Ein Notstand 
wird beseitigt, SZ 26.08.2015, 1, 4). 


Bund 


BMI plant neue Abhör- 
behörde 


Das Bundesinnenministerium (BMI) 
will eine neue sog. Sicherheitsbehörde 
aufbauen, mit deren Hilfe die Internet- 
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kommunikation besser überwacht und 
Verschlüsselungen gebrochen werden 
können. Die neue Behörde soll z. B. in 
die verschlüsselte Kommunikation von 
Messengerdiensten eindringen können 
oder die Instrumente für die Kompro- 
mittierung von Rechnern für Zwecke 
der Online-Durchsuchung liefern. Da- 
für will das BMI KryptologInnen und 
NetzwerkexpertInnen einstellen. Die 
Einrichtung soll nicht selbst überwa- 
chen, sondern nur die Technik dafür ent- 
wickeln; die Anwendung würde weiter- 
hin den operativen Behörden, etwa dem 
Bundeskriminalamt oder dem Bundes- 
amt für Verfassungsschutz überlassen. 
Die regierungsintern umstrittenen Pläne 
von Minister Thomas de Maiziere sollen 
zunächst den Abgeordneten des Bundes- 
tags präsentiert werden (Abhören leich- 
ter gemacht, Der Spiegel 46/2015, 26). 


Bund 


Geodaten-Co0 als Ver- 
haltensregel anerkannt 


Um Unternehmen eine praktikable 
und rechtssichere Handhabung der Da- 
tenschutzregeln bei der Nutzung per- 
sonenbezogener Geodaten zu ermögli- 
chen, hat die Kommission für Geoinfor- 
mationswirtschaft (GIW-Kommission) 
beim Bundesministerium für Wirtschaft 
und Energie die Bestimmungen der Da- 
tenschutzgesetze des Bundes und der 
Länder zu einem bundesweit einheit- 
lichen Regelwerk zusammengefasst, 
dem „GeoBusiness Code of Conduct“ 
(GeoBusiness-CoC). Der Berliner Be- 
auftragte für Datenschutz und Informa- 
tionsfreiheit, Dr. Alexander Dix, hat den 
GeoBusiness CoC nach $ 38a Bundes- 
datenschutzgesetz (BDSG) offiziell an- 
erkannt. 

Brigitte Zypries, Parlamentarische 
Staatssekretärin beim Bundesminister 
für Wirtschaft und Energie, begrüßte, 
dass mit dem GeoBusiness-CoC nun 
eine bundesweit datenschutzrechtlich 
anerkannte Selbstverpflichtungserklä- 
rung für den Umgang mit personenbe- 
zogenen Geodaten in der Wirtschaft 
vorliegt. Unternehmen können über das 
zugehörige Online-Zertifizierungsportal 
mit wenigen Klicks ihren datenschutz- 
konformen Umgang mit personenbe- 
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zogenen Daten gegenüber öffentlichen 
Stellen und Datenanbietern nachwei- 
sen. Das erleichtere gerade für kleine 
und mittelständische Unternehmen den 
Bezug und die Nutzung von Geodaten 
und stärke die Anwendung der Daten- 
schutzgesetze. Die wirtschaftliche Nut- 
zung von Geodaten öffentlicher Stel- 
len berge erhebliches wirtschaftliches 
Potenzial. Dies gelte insbesondere für 
hochauflösende und genaue Geodaten. 
Solche Daten weisen allerdings häufig 
einen Personenbezug auf und sind so- 
mit datenschutzrelevant. Konkret geht 
es dabei z. B. um Eigentümerinformati- 
onen in Grundstücksdaten, die von der 
Rohstoffwirtschaft genutzt werden kön- 
nen, um ihre Betriebsplanung weiter zu 
verbessern, oder Angaben zu denkmal- 
geschützten Gebäuden, die für die Versi- 
cherungswirtschaft relevant sind. 

Der GeoBusiness-CoC wird von der 
GIW-Kommission in Kooperation mit 
dem Verein Selbstregulierung Informa- 
tionswirtschaft e.V. (SRIW) umgesetzt. 
SRIW Vorstandschef Harald Lemke er- 
klärte: „Durch die Kooperation zwischen 
Wirtschaft und Behörden ist es gelun- 
gen, eine praktikable Lösung zu entwi- 
ckeln, die Geodaten besser zugänglich 
macht und zugleich den Datenschutz 
sichert. Das hat Vorbildcharakter.‘“ Der 
Berliner Beauftragte für Datenschutz 
und Informationsfreiheit Dr. Alexander 
Dix sieht in dem GeoBusiness-CoC ei- 
nen angemessenen „Ausgleich zwischen 
Datenschutz und Informationsfreiheit 
gefunden worden, der dem Bundesda- 
tenschutzgesetz entspricht.“ 

Für die Zertifizierung nach dem CoC 
kann man den Link www.geodatenschutz. 
org nutzen. Dort werden bestimmte 
technische und organisatorische Re- 
gelungen des Unternehmens in Bezug 
auf den Datenschutz abgefragt, zum 
Beispiel wie ein betrieblicher Daten- 
schutzbeauftragter erreichbar ist oder 
welche Maßnahmen zum Schutz vor 
unbefugten Zugriffen auf personenbezo- 
gene Daten getroffen werden. Dr. Jörg 
Reichling, Verhandlungsführer für die 
GIW-Kommission, erläuterte: „Dieses 
zu harmonisieren haben wir 2010 be- 
gonnen, ohne einheitlich geregelten Da- 
tenschutz gibt es keinen wirtschaftlichen 
Mehrwert“ (Staatssekretärin Zypries 
begrüßt Anerkennung einheitlicher Da- 
tenschutzvorgaben für Geodaten durch 


Aufsichtsbehörden, www.geobusiness. 
org 03.08.2015). 


Bund 


Bundesbank will umfas- 
sendes Kreditregister 


Bei der Aufsichtsbehörde für das Kre- 
ditwesen, der Deutschen Bundesbank 
in Frankfurt, denkt man darüber nach, 
sämtliche Daten über Kreditgewährun- 
gen durch Banken zu erheben und zen- 
tral zu speichern. Jeder Kleinstkredit, 
egal ob ihn eine Privatperson oder eine 
juristische Person in Anspruch genom- 
men hat, soll gemäß der Vorstellung der 
Bundesbank von den kreditgebenden 
Banken an sie gemeldet werden. Ent- 
schieden ist noch nichts, doch der Plan 
sorgt schon im Vorfeld für Widerspruch. 
Ziel der Maßnahme ist die Stärkung der 
Finanzstabilität. Bislang weiß die Bun- 
desbank nicht, dass sich ein Bürger bei 
vielen Banken mehrere Kredite geben 
lässt. Wenn sehr viele Privathaushalte 
und Unternehmen sich dadurch in eine 
Schuldenfalle manövrieren würden, 
dann könnte dieser Umstand die Finanz- 
stabilität eines ganzen Landes gefähr- 
den, etwa wenn die Kredite ausfallen 
und die Banken aus diesem Grund ins 
Wanken geraten. 

Die Planung ist eine Reaktion der 
Aufseher auf die globale Finanzkrise. 
Als die US-Investmentbank Lehman 
Brothers 2008 pleiteging, stellte man 
fest, wie wenig Bankkontrolleure über 
die Kreditrisiken des Bankensektors 
wussten. Man hatte diese Gefahren lan- 
ge unterschätzt. Bundesbank-Vizeprä- 
sidentin Claudia Buch erläuterte: „Die 
Erfahrung aus den USA zeigt, dass eine 
Lockerung der Kreditvergabestandards 
an bonitätsschwache Haushalte eine der 
wesentlichen Ursachen für Finanzkrisen 
sein kann.“ Eine solche Entwicklung 
könne nur mit granularen Daten identi- 
fiziert werden. 


- Die Pläne der EZB 


Die auch in Frankfurt residierende 
Europäische Zentralbank (EZB) hat des- 
halb im Juni 2014 beschlossen, ein zent- 
rales Kreditregister für Europas Finanz- 
sektor aufzubauen. Es sollen dazu eng- 
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maschige Kundendaten bei den größten 
Banken Europas, die von der EZB seit 
knapp einem Jahr beaufsichtigt wer- 
den, erhoben werden. So strebt die EZB 
eine vergleichbare Datenbasis über alle 
Großbanken in den 19 Euro-Staaten 
an. Idealerweise würde im Ernstfall ein 
Blick genügen, um erkennen zu können, 
wo sich Überschuldungswellen aufbau- 
en, die das System destabilisieren. 

Die EZB hatte ursprünglich eine Mel- 
deschwelle von 50.000 Euro vorgese- 
hen, jetzt sollen es 25.000 Euro sein. 
Noch im Oktober 2015 wollte die EZB 
einen ersten Beschluss in dieser Sache 
fassen, dem dann voraussichtlich eine 
Umfrage bei den betroffenen Banken 
folgt. Die Umsetzung soll im zweiten 
Halbjahr 2017 folgen. Zunächst müss- 
ten dann Ausleihungen an Firmenkun- 
den und die öffentliche Hand gemeldet 
werden, später, ab 2020, dann auch wei- 
tere Darlehen wie Wohnungsbaukredite 
oder Dispokredite an private Haushalte. 
Eine Meldeschwelle von null Euro, wie 
ihn die Bundesbank für den deutschen 
Bankensektor erwägt, ist bei der EZB 
wohl vom Tisch. 


- Widerstand 


Die Banken in Deutschland wehren 
sich vehement gegen die Pläne der Auf- 
sicht ohne jegliche Meldeschwelle. Die 
Institute fürchten den Aufwand. Sie hal- 
ten dies zudem für viel zu bürokratisch 
und datenschutzrechtlich heikel. Die 
Institute müssten viele Details übermit- 
teln, etwa die Art des Kredits, dessen 
Laufzeit und Währung. Die Banken- 
lobby schätzt, dass sich die Zahl der zu 
meldenden Kreditmerkmale gegenüber 
heute verdreifachen würde. 

In einem Schreiben der Deutschen 
Kreditwirtschaft, der gemeinsamen 
Lobbyplattform für Sparkassen, Genos- 
senschaftsbanken und Privatbanken, an 
die Bundesbank heißt es, wenn künf- 
tig z. B. auch Dispo-Kredite gemeldet 
werden müssten, seien die Banken ge- 
zwungen, die Kunden bereits bei der Er- 
öffnung von Girokonten nach Einkom- 
men und Vermögen zu befragen. „Bei 
Wohnungsbaukrediten wird dies seitens 
der Kunden naturgemäß akzeptiert, ob 
dies jedoch bei der Eröffnung eines 
Girokontos der Fall ist, erachten wir 
als fraglich.“ Der Bearbeitungsprozess 
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werde auf jeden Fall deutlich bürokra- 
tisiert, weil die Kunden unter anderem 
über die Verwendung der Daten und die 
Meldung an die Bundesbank aufgeklärt 
und informiert werden müssten. „Unse- 
rer Einschätzung nach rechtfertigt der 
versprochene Nutzen im Sinne Geld- 
politik und Finanzmarktstabilität diesen 
Ansatz in keinster Weise.“ Bei beste- 
henden Verbindungen müssten die Attri- 
bute nicht nur bei reinen Kreditkunden, 
sondern bei allen Girokunden, denen ein 
Dispositionskredit eingeräumt wurde, 
nacherhoben werden, was zu weiteren 
erheblichem Aufwand führen würde. 


- Erwartungen 


Die Bundesbank hält bisher an ihren 
Planungen fest. Es gibt auch andere 
Aufsichtsbehörden in der Euro-Zone, 
die alle Daten zur Kreditvergabe einfor- 
dern. Die EZB-Regel ist das eine, auf 
nationaler Ebene dürfen die Aufseher 
aber jederzeit noch mehr Daten erhe- 
ben. Bei der Bundesbank heißt es, man 
könne sich viele Sonderumfragen bei 
Banken ersparen, wenn die Datenlage 
besser wäre. In Bezug auf die Immobili- 
enmärkte fehlen Informationen für eine 
adäquate Risikoeinschätzung, so Peter 
Barkow, Gründer der Finanzierungs- 
beratung Barkow Consulting, der seit 
Jahren den Immobilienmarkt analysiert: 
„Auch wenn es viele Studien dazu gibt: 
Es ist nach wie vor sehr schwer, wirk- 
lich valide Aussagen über die Preise 
deutscher Wohnimmobilien zu treffen.“ 
Es gebe zwar viele Daten und Indizes, 
aber die Ergebnisse seien zum Teil wi- 
dersprüchlich. Bei gewerblichen Immo- 
bilien, dazu gehörten Büro- oder Logis- 
tikimmobilien, sei der Nachholbedarf 
noch größer. „Für diesen Markt gibt es 
noch weniger Daten und keinerlei Leit- 
index. Die Datensammlung der Bundes- 
bank könnte das unter Umständen ver- 
bessern. 

Die Deutsche Bundesbank würde auch 
einen Überblick über die Gesamtver- 
schuldung der Einzelhaushalte erhalten. 
Datenschutzrechtliche Einwände weist 
man zurück, da die Daten anonymisiert 
würden, so Bundesbank-Vizepräsiden- 
tin Buch: „Mit deren Hilfe lassen sich 
Einzelkreditdaten und Bankbilanzdaten 
verknüpfen. Eine solche Datenbasis 
würde uns gute Analysemöglichkeiten 


für viele Anwendungen bieten“ (Schrei- 
ber/Zydra, Frankfurter Datensammler, 
SZ 10.09.2015, S. 14). 


Bund 


BDSWw fordert Wachleute- 
Überprüfung 


Der Bundesverband der Sicherheits- 
wirtschaft (BDSW) fordert von den 
Bundesländern strengere Überprüfun- 
gen von privaten Wachmännern, die in 
Flüchtlingsunterkünften arbeiten. Der 
Hauptgeschäftsführer des Bundesver- 
bandes der Sicherheitswirtschaft, Ha- 
rald Olschok, meinte: „Es ist überhaupt 
nicht hinnehmbar, dass Rechtsextreme 
für solche Tätigkeiten zum Einsatz kom- 
men.“ Kurz zuvor war bekannt gewor- 
den, dass im sächsischen Heidenau ein 
bekennender Neonazi als Sicherheits- 
mann in einem Flüchtlingsheim einge- 
setzt wurde. 

Fälle mit Wachmännern aus der 
rechtsextremen Szene sind auch aus 
Jena und Brandenburg bekannt gewor- 
den. Im September 2014 erfolgte eine 
Misshandlung eines Flüchtlings durch 
einen Wachmann in einem Heim in Bur- 
bach (Nordrhein-Westfalen). 

Deutschlandweit waren im September 
2015 rund 5.000 private Sicherheitskräf- 
te in Flüchtlingsunterkünften aktiv, eine 
Zahl, die sich, gemäß Olschok, inner- 
halb eines Jahres verdoppelt hat. Ange- 
sichts der steigenden Flüchtlingszahlen 
beauftragen Länder und Kommunen 
immer häufiger private Sicherheitskräf- 
te zum Schutz der Heime. Auch Wach- 
männer mit Migrationshintergrund seien 
zunehmend gefragt, da diese häufig die 
Muttersprache der Flüchtlinge sprechen 
und leichter bei religiösen Konflikten 
zwischen verschiedenen Flüchtlings- 
gruppen vermitteln können. 

Die privaten Sicherheitsunterneh- 
men können bislang nur einmalig eine 
Überprüfung der Mitarbeitenden über 
das polizeiliche Führungszeugnis aus 
dem Bundeszentralregister (BZR) vor- 
nehmen. Liegen keine Einträge wegen 
aktueller Straftaten vor, so werden die 
Bewerbenden eingestellt. Für alle wei- 
tergehenden Informationen - etwa eine 
Abfrage zu einer möglichen rechtsex- 
tremen Gesinnung der Wachleute - ist 
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der Verfassungsschutz zuständig. Die 
Bundesländer hätten, so Olschok, die 
Möglichkeit, gerade für den Einsatz in 
Flüchtlingsheimen das Personal ent- 
sprechend überprüfen zu lassen. Hier- 
von werde offensichtlich noch zu wenig 
Gebrauch gemacht. In Sachsen gibt es 
etwa 12.000 private Wachmänner, wo- 
von 3-4% in Flüchtlingsheimen im Ein- 
satz sind. Olschok meinte, eine rechts- 
extreme Gesinnung sei bei den privaten 
Sicherheitskräften „genauso stark ver- 
breitet, wie im Durchschnitt der Bevöl- 
kerung auch“: „Wir sind ein Spiegel- 
bild der Gesellschaft.“ Gerade in einer 
Region, wo die Bereitschaft der Bevöl- 
kerung geringer sei, Flüchtlinge aufzu- 
nehmen, sollten die Anforderungen an 
private Sicherheitsdienste und deren 
Beschäftigte besonders hoch und die 
Zusammenarbeit mit der Polizei zwin- 
gend vorgeschrieben sein. Zudem soll- 
ten die Unternehmen die Möglichkeit 
haben, ihre Mitarbeitenden regelmäßig, 
z. B. jährlich, über BZR auf Strafta- 
ten hin abzufragen (Private Wachleute 
in Flüchtlingsheimen sollten strenger 
geprüft werden, www.evangelisch. 
de 03.09.2015). 


Bund 


Siegel für Gesundheits- 
Apps? 


In einem Brief der beiden stellver- 
tretenden Vorsitzenden der CDU/CSU- 
Bundestagsfraktion Gitta Connemann 
und Georg Nüßlein fordern diese, ver- 
bindliche Sicherheitsvorgaben für Ge- 
sundheits-Apps einzuführen, mit denen 
digital z. B. der Fitnesszustand oder das 
Gewicht kontrolliert werden: “Es fehlen 
klare Regelungen.” Der Brief fordert 
die Vergabe eines “Siegels für Apps”, 
das belegt, dass die Daten “in der Ho- 
heit des Nutzers bleiben und nicht wei- 
tergegeben werden.” Jede App solle ein 
Impressum mit Angaben zum Urheber 
und zur Aktualität enthalten. Auf EU- 
Ebene müsse sich die Regierung für 
verbindliche Standards einsetzen, “um 
möglicherweise gesundheitsgefährden- 
de Anwendungen zu verhindern”. Das 
von Bundesgesundheitsminister Her- 
mann Gröhe geplante E-Health-Gesetz 
enthält keine derartigen Vorgaben für 
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Gesundheits-Apps. Inzwischen soll es 
400.000 derartiger Onlineangebote für 
das Smartphone geben; teilweise wer- 
den diese von Krankenkassen oder von 
der Pharmaindustrie angeboten (Mehr 
Sicherheit für Gesundheits-Apps, Der 
Spiegel 38/2015, 12). 


Hessen 


Joschka Fischers 
Polizeiakte herrenlos im 
Flughafen 


Zollbeamte haben in einem herrenlo- 
sen Koffer am Frankfurter Flughafen die 
Polizeiakte des ehemaligen Außenmi- 
nisters Joschka Fischer gefunden. Darin 
soll gemäß Presseberichten die Verstri- 
ckung Fischers in die damalige linksra- 
dikale Szene dokumentiert sein. So wur- 
de Fischer 1976 bei einer Demonstration 
für die RAF-Terroristin Ulrike Meinhof 
festgenommen und erkennungsdienst- 
lich behandelt. Damals wurde gegen 
Fischer wegen Landfriedensbruchs, 
versuchten Mordes und der Bildung ei- 
ner kriminellen Vereinigung ermittelt. 
Die Akte galt seit 1985 als verschollen 
(Joschka Fischers Polizeiakte gefunden, 
Polizeiakte, SZ 12./13.09.2015, 4, 12). 


Niedersachsen 


VHV mit Pay-as-you- 
drive-Tarif 


Nach versuchsweisen Markteinfüh- 
rungen durch andere Versicherungen 
bietet die VHV-Versicherung auf brei- 
ter Front einen Telematik-Tarif an, bei 
dem weniger Prämie zu zahlen ist, wer 
wenig und vorsichtig fährt, sich an die 
Verkehrsregeln hält und Landstraßen 
meidet. Im Gegenzug werden die Kun- 
dInnen umfassend kontrolliert und 
die Fahrdaten erfasst und ausgewer- 
tet. VHV-Vorstandsmitglied Per-Johan 
Horgby erklärte bei der Vorstellung 
am 30.09.2015: „Das ist ein Meilen- 
stein; wir sind extrem stolz. In der tra- 
ditionellen Versicherung fragen wir den 
Kunden: Wer bis Du? Jetzt fragen wir: 
Wie fährst Du?“ Generali und die Spar- 
kassendirektversicherung wollen mit 
ähnlichen Angeboten in Kürze auch auf 


dem Markt groß einsteigen, jedoch mit 
einem anderen technischen System. Bei 
VHV wird eine kleine schwarze Box in 
die 12-Volt-Buchse des Zigarettenan- 
zünders gesteckt, über den die Daten 
erfasst werden. Ein Nachlass von bis 
zu 30% auf die Normalprämie ist mög- 
lich, wenn die Fahrerln bei vier Kriteri- 
en günstig abschneidet: Einhaltung von 
Tempolimits, Beschleunigungs- und 
Bremsverhalten, Straßentyp und Uhrzeit 
der Fahrten. Nachtfahrten erhöhen die 
Prämie. Horgby meint, das neue Sys- 
tem sei datensparsamer als das bisheri- 
ge: In herkömmlichen Tarifen würden 
bis zu 50 Kriterien abgefragt, um das 
Unfallrisiko einzuschätzen, z. B. ob die 
KundlIn ein Eigenheim besitzt: „Wer zur 
Miete wohnt, muss mehr zahlen. Ist das 
gerecht?“ Die Nutzung der Box kostet 
die KundIn 6,99 € pro Monat. Der Tarif 
lohnt sich daher nur bei hohen Prämien, 
etwa bei FahranfängerInnen. Horgby 
sieht keine Datenschutzprobleme. Alle 
Informationen stünden allein dem Kun- 
den zur Verfügung. VHV-Mitarbeitende 
hätten keinen Einblick. Die Daten wer- 
den von dem Dienstleister Akquinet in 
Hamburg aufbereitet und gespeichert 
(Scheuermann, „Wir fragen: Wie fährst 
du?“ Kieler Nachrichten 01.10.2015, 5). 


Nordrhein-Westfalen 


Namensänderung 
zwecks Verhinderung von 
Diskriminierung 


Der frühere Präsident des Verfas- 
sungsgerichts von Nordrhein-Westfalen, 
Michael Bertrams, hat sich dafür ausge- 
sprochen, AusländerInnen leichter den 
Wechsel zu einem deutschen Namen zu 
ermöglichen. Wenn Familien mit auslän- 
dischen Wurzeln ihren fremd klingen- 
den Namen ändern wollten, um dadurch 
mögliche Diskriminierungen insbeson- 
dere ihrer Kinder zu verhindern, soll- 
ten Verwaltungen und Gerichte dies als 
einen „wichtigen Grund“ akzeptieren. 
Einen solch wichtigen Grund verlangt 
das deutsche Namensrecht bei einem 
Namenswechsel: „Wer sich gegen eine 
Diskriminierung erfolgreich zur Wehr 
gesetzt hat, ist vor Wiederholungen kei- 
neswegs sicher, solange er den Namen 
trägt, an dem sich die Diskriminierung 
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festmacht.‘““ Wirklichen Schutz könne 
nur eine Namensänderung bieten. 

Hintergrund ist ein Urteil des Ver- 
waltungsgerichts Braunschweig. Dieses 
hatte den beantragten Namenswechsel 
einer türkischen Familie mit deutschem 
Paß mit der Begründung abgelehnt, 
ein ausländischer Nachname reiche als 
Grund für eine Namensänderung allein 
nicht aus. Vielmehr müssten die Betrof- 
fenen auch schwerwiegende Beeinträch- 
tigungen aufgrund ihres Namens nach- 
weisen können. Bertrams sieht dies an- 
ders. Gerade Menschen mit türkischen 
Namen seien im wirtschaftlichen und 
sozialen Leben in Deutschland nach wie 
vor mit erheblichen Vorurteilen kon- 
frontiert (Diskriminierende Namen, SZ 
29.07.2015, 6). 


Schleswig-Holstein 


Keine anonymen Bestat- 
tungen mehr in St. Georg 


Auf dem 700 Jahre alten Friedhof der 
evangelischen Kirchengemeinde St. Ge- 
org/Genin in Lübeck sollen keine ano- 
nymen Bestattungen mehr zulässig sein; 
für jedes Grab soll wenigsten ein Na- 
mensschild verpflichtend sein, wie die 
Vorsitzende des Kirchengemeinderates 
Monika Paustian erläuterte: „Wir sind 


der Auffassung, dass Verstorbene über 
den Tod hinaus der Name bleiben soll- 
te, als Menschen und Christen.“ Schon 
2009 habe man daher beschlossen, nach 
Belegung des bisherigen Gräberfelds 
für anonyme Bestattungen kein weiteres 
derartiges Gräberfeld zu schaffen. Die 
Lübecker Pröpstin Petra Kallies recht- 
fertigt diese umstrittene Entscheidung: 
„ Ich habe Dich bei Deinem Namen ge- 
rufen, Du bist mein‘, heißt es in der Bibel 
bei Jesaja 43, Vers 1. Jeder und jede ein- 
zelne wird von Gott gesehen.“ Diese In- 
dividualität höre für Christen nicht auf. 
Der Name auf dem Grab sei ein wichti- 
ger Ausdruck des christlichen Glaubens: 
„Wir respektieren, wenn Menschen ihre 
Angehörigen anonym bestatten wollen, 
aber auf unseren Friedhöfen ist es nicht 
die Form, die wir wünschen.“ 
Franz-Helmut Pohlmann aus Heide, 
Obermeister der Bestattungsinnung 
Schleswig-Holstein, stellt dagegen ei- 
nen gesellschaftlichen Wandel bei der 
letzten Ruhe der Menschen fest: „Frü- 
her war es selbstverständlich, dass die 
Großfamilie, bei der mehrere Generati- 
onen unter einem Dach lebten, in einem 
großen Familiengrab bestattet wurde.“ 
Heute gebe es oft niemanden mehr, der 
nach dem Tod eines Angehörigen die 
Grabpflege übernehmen wolle. Dadurch 
steige die Zahl anonymer Bestattungen. 
„Natürlich gibt es solche Bestattungen 


Datenschutznachrichten aus dem Ausland 


Europa 


Nur begrenzte Trans- 
parenz über Google- 
Löschungen 


Mit Urteil vom 13.05.2014 hat der Eu- 
ropäische Gerichtshof (EuGH) entschie- 
den, dass Suchmaschinen wie Google 
Links zu Inhalten aus ihren Ergebnislis- 
ten entfernen müssen, wenn ein Nutzer 
in seinen Persönlichkeitsrechten verletzt 
ist (C-131/12). Ein Spanier wollte über 
die Suchmaschine nicht mehr im Zu- 
sammenhang mit einer 15 Jahre alten 
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Geschichte auffindbar sein. Der EuGH 
stärkt damit ein „Recht auf Vergessen- 
werden“, wobei der ursprüngliche Zei- 
tungsartikel im Netz bleiben durfte. So 
sollen etwa falsche, irrelevante oder in- 
aktuelle Informationen verborgen wer- 
den können, damit Menschen nicht ihr 
Leben lang von ihnen verfolgt werden. 
Bis Juli 2015 waren bei Google rund 
280.000 Anträge gestellt worden, um 
insgesamt mehr als eine Million Links 
zu löschen. In 41% der Fälle ist Google 
dem Ersuchen nachgekommen. Diese 
Zahlen nennt Google im eigenen Trans- 
parenzbericht, zusammen mit 22 exem- 


auch auf kirchlichen Friedhöfen. Diese 
können sie überhaupt nur da ablehnen, 
wo es parallel noch einen kommunalen 
Friedhof gibt.“ Der Vizepräsident des 
Kirchenamts der Evangelischen Kirche 
in Deutschland, Thies Gundlach, sieht 
keinen Anlass zum Streit: „Im Grund- 
satz ist es gut, wenn Menschen einen 
Ort des Trauerns haben, an dem der 
Name des Verstorbenen sichtbar wird. 
Deswegen empfehlen wir in der Seel- 
sorge, Gräber mit Namen zu versehen. 
Wir haben die Erfahrung gemacht, dass 
Menschen, die keinen Ort mehr zum 
Trauern haben, oft hilfloser sind, als 
Menschen, die an einem Grab eines 
Verstorbenen gedenken können.“ Wenn 
Menschen allerdings partout anonym 
bestattet werden möchten, müsse auch 
die Kirche dies respektieren: „Der Ein- 
druck, dass eine Bestattung mit einem 
Grabstein erwünscht ist, weil das dem 
Friedhofsträger mehr Geld in die Kasse 
bringt, sollte vermieden werden.“ Als 
Pastor wirkt er an anonymen Bestattun- 
gen mit; das gelte auch für Sceebestat- 
tungen, wo es in der Natur der Sache 
liegt, dass es keinen Grabstein gibt: 
„Im Blick auf die Opfer von Schiffs- 
unglücken und Katastrophen wäre alles 
andere auch seelsorgerisch nicht ver- 
antwortlich“ (Lassiwe, Ärger um die 
letzte Ruhe, Schleswig-Holstein am 
Sonntag, 23.08.2015, 6). 


plarischen Löschanfragen. Diese drasti- 
schen Fälle lassen leicht den Eindruck 
entstehen, dass vor allem Kriminelle 
oder zwielichtige Politiker das Recht auf 
Vergessenwerden nutzen, um ihr öffent- 
liches Image aufzupolieren. 
Journalistische Recherchen zeigen 
jedoch, dass die Realität etwas anders 
aussieht. Google selbst teilt mit, man 
habe „immer versucht, bei unseren Ent- 
scheidungen in Bezug auf das Recht auf 
Vergessen so transparent wie möglich zu 
sein“. Die Daten seien Teil eines Versu- 
ches gewesen, um herauszufinden, wie 
sich die Anfragen kategorisieren lassen. 
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Die Zuteilung sei aber nicht verlässlich 
genug gewesen, um sie zu veröffentli- 
chen. Deshalb habe Google den Test im 
März 2015 abgebrochen. Derzeit arbeite 
man daran, den Transparenzbericht zu 
verbessern. 

Gemäß den Recherchen stammen 
mehr als 95% der Anträge von norma- 
len Nutzenden, die Links zu Inhalten 
mit privaten Informationen gelöscht ha- 
ben wollen. Während knapp die Hälfte 
der „privaten oder persönlichen Infor- 
mationen“ gelöscht wird, lehnt Google 
rund zwei Drittel der Löschanfragen 
aus den Kategorien „politisch“, „Per- 
sönlichkeit des öffentlichen Lebens“ 
und „schwere Verbrechen“ ab. Griechen 
und Bulgaren stellten nur rund 100 An- 
träge pro eine Million Einwohner, in 
Estland und Liechtenstein sind es zehn- 
mal so viele. Deutschland liegt mit 458 
Löschanfragen im Mittelfeld. In Italien 
sollten besonders häufig Links im Zu- 
sammenhang mit schweren Verbrechen 
entfernt werden (12% aller Anfragen), 
Rumänien führt die Liste bei den poli- 
tischen Löschanträgen an (7%), und in 
Ungarn wollten viele Prominente ihre 
Informationen bei Google entfernen las- 
sen (8%). In Deutschland machen diese 
Kategorien jeweils weniger als ein Pro- 
zent der Gesuche aus, 98% stehen im 
Zusammenhang mit privaten oder per- 
sönlichen Informationen. 

Ein Experten-Beirat hatte einen Leit- 
faden für die Entfernung von Daten 
im Internet erstellt. Im Mai 2015 hat- 
ten 80 WissenschaftlerInnen in einem 
offenen Brief an Google mehr Trans- 
parenz beim Umgang mit Löschanfra- 
gen. Dem schloss sich im Juli 2015 die 
frühere Bundesjustizministerin Sabine 
Leutheusser-Schnarrenberger an, die als 
Beraterin im „Löschbeirat“ von Google 
sitzt. Sie kritisierte, dass Google entge- 
gen der Empfehlung des Beirats bisher 
keinen Bericht über die Maßstäbe beim 
Entfernen von Links vorgelegt habe. 

Der britische Vize-Datenschutzkom- 
missar David Smith forderte in einer 
Anordnung vom August 2015, dass 
Google auch Links zu frischen Medien- 
berichten über das Löschen von Links 
zu früheren Informationen entfernen 
müsse, weil in den neuen Artikeln die 
alten Vorwürfe gegen die Person wie- 
derholt würden. Die Links sollen bei 
der Internetsuche nach dem Namen des 
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Antragstellenden nicht angezeigt wer- 
den. Im konkreten Fall ging es um ein 
10 Jahre zurückliegendes kriminelles 
Vergehen (SHZ am Sonntag 23.08.2015, 
Online S. 19, Hurtz, Schwamm drüber, 
SZ 16.07.2015, 25; Tippmann, Google‘s 
Data On the the Right to be Forgotten, 
http:/sytpp.github.io/rtbf/index.htm]). 


Europa 


Steuerabkommen mit der 
Schweiz 


Im Kampf gegen die grenzüberschrei- 
tende Steuerflucht haben die EU und 
die Schweiz ein Abkommen über den 
Austausch von Bankdaten besiegelt, das 
am 16.09.2015 vom Schweizer Natio- 
nalrat gegen den heftigen Widerstand 
der Schweizerischen Volkspartei (SVP) 
bestätigt wurde. Der für Steuern zustän- 
dige EU-Kommissar Pierre Moscovici 
hatte in Brüssel nach der Unterzeich- 
nung des Abkommens am 27.05.2015 
erklärt: „Es eröffnet eine neue Ära der 
Steuer-Transparenz und markiert de 
facto das Ende des Bankgeheimnis- 
ses für die EU und die Schweiz“ . Der 
Austausch von Bankdaten soll im Jahr 
2018 beginnen. Die EU-Staaten erhalten 
künftig von der Schweiz jährlich Da- 
ten zu jenen Steuerpflichtigen, die ein 
Schweizer Konto haben. Dazu gehören 
Namen, Adressen, Steuernummern und 
Geburtstage sowie Informationen zu Fi- 
nanzen und Kontostand. Damit halten 
sich die beiden Partner laut Kommission 
an weltweite Standards der Organisa- 
tion für wirtschaftliche Zusammenar- 
beit und Entwicklung (OECD) und der 
G 20. Diese vereint große Industrie- und 
Schwellenländer. 7 Jahre zuvor hatte der 
damalige Finanzminister der Schweiz 
Hans-Rudolf Merz noch erklärt: „An 
diesem Bankgeheimnis werdet ihr euch 
die Zähne ausbeißen, es steht nämlich 
nicht zur Disposition.“ Laut Moscovici 
ist nun eine neue Etappe erreicht. Die 
Kommission verhandelt derzeit ähnli- 
che Abkommen mit Andorra, Liechten- 
stein, Monaco und San Marino aus. Sie 
sollen noch vor Ende des Jahres 2015 
unterzeichnet werden (Schweiz kippt 
Bankgeheimnis, SZ 17.09.2015, 22; EU 
läutet das Ende des Bankgeheimnisses 
ein, www.welt.de 27.05.2015). 


Europa 


Bei Outdorkleidung Terro- 
rismusverdacht 


Aus einem vertraulichen Papier der 
Europäischen Kommission geht hervor, 
dass in den Schengen-Raum Einreisen- 
de aufgrund ihrer äußeren Erscheinung 
auf einen möglichen Terrorhintergrund 
überprüft werden. EU-Staatsangehörige, 
die aus Konfliktgebieten zurückkehren, 
werden auf sog. Risikoindikatoren hin 
untersucht, wozu Wunden, Verletzungen 
und Verbrennungen gehören. Geachtet 
werden soll zudem an den Schengen- 
Außengrenzen auf blasse Hautpartien, 
die auf eine frische Bartrasur schließen 
lassen, sowie Militär- und Outdoorklei- 
dung. Als risikobehaftet gelten der Liste 
zufolge Männer im kampffähigen Alter 
mit einschlägigen Tätowierungen und 
nervösem Verhalten. Die Kommission 
listet insgesamt 25 Merkmale auf. 

Bei Verdächtigen soll es einen Ab- 
gleich in den europäischen Polizei- 
datenbanken geben. Die Maßnahmen 
betreffen u. a. Reisende aus Bürger- 
kriegsstaaten wie Syrien oder dem Irak 
sowie aus deren Nachbarländern wie der 
Türkei oder Jordanien. Die Risikoindi- 
katoren sind in Brüssel umstritten. Kri- 
tikerInnen fürchten eine systematische 
Personenkontrolle von EU-BürgerInnen 
im Schengen-Raum, der eigentlich ei- 
nen weitgehend freien Personenverkehr 
garantiert (Outdoorkleidung macht ver- 
dächtig, Der Spiegel 29/2015, 13). 


Europa/Deutschland 


Außergerichtlicher Ver- 
gleich zwischen Google 
und Mosley 


Der ehemalige Motorsport-Präsident 
Max Mosley und der Internetkonzern 
Google beendeten ihren langjährigen 
Rechtsstreit mit einer außergerichtlichen 
Vereinbarung, die diese am 11.05.2015 
unterzeichneten, wie Tanja Irion, Mos- 
leys Anwältin in Deutschland, bestätig- 
te: „Der Streit ist beigelegt, zur Zufrie- 
denheit beider Seiten.“ Über Details der 
Einigung haben Google und Mosley 
Stillschweigen vereinbart. „Die Verein- 
barung ist vertraulich“, sagte Mosley und 
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ergänzte: „Ich bin zufrieden und möchte 
sie nicht gefährden.“ Der Fall beschäf- 
tigte seit Jahren Gerichte in Deutsch- 
land, Frankreich und Großbritannien. 
Mosley hatte Google verklagt, weil sich 
der Suchmaschinenbetreiber weigerte, 
illegale Bilder einer privaten Sadomaso- 
Party Mosleys von vorneherein aus sei- 
nen Suchergebnissen herauszufiltern. 
Hunderte Webseitenbetreiber, die die Fo- 
tos immer wieder hochladen, hat Mosley 
bereits erfolgreich verklagt, weil sie seine 
Persönlichkeitsrechte verletzten. Ein bri- 
tisches Boulevardblatt hatte Mosley 2008 
heimlich bei einer privaten Sex-Party ge- 
filmt und das Video ins Netz gestellt. Ein 
Gericht in Paris sowie das Landgericht 
Hamburg hatten Google bereits in erster 
Instanz verpflichtet, diverse Fotos aus 
seinen Treffern herauszufiltern (DANA 
1/2014, 49). Das Oberlandesgericht 
Hamburg sollte am 19.05.2015 in dem 
Berufungsverfahren seine Entscheidung 
verkünden. Dies konnte Google durch 
die Vereinbarung verhindern. 

2012 hatte Mosley noch gemeint: „Es 
geht nicht mehr um mich. Ich habe Zeit 
und Geld. Wenn man beides hat, ist man 
verpflichtet zu kämpfen, damit es ande- 
ren nicht genauso ergeht.“ Google wie- 
derum hatte argumentiert, man wolle sich 
nicht zum Zensor des Netzes machen. 
Einen technischen Filter zu bauen sei 
ein unzumutbarer Aufwand und zugleich 
ein Präzendenzfall, der zahllose Promis, 
Politiker und Unternehmen auf den Plan 
rufen würde. Der Streit hatte Mosley fast 
eine Million Euro gekostet. Google hatte 
anscheinend erkannt, dass es juristisch 
keine Chance hatte, insbesondere nach- 
dem der EuGH am 13.05.2014 gegen 
Google ein „Recht auf Vergessenwerden“ 
Judizierte. Mit einer weiteren rechtlichen 
Niederlage wäre für Google ein weiterer 
Imageverlust verbunden gewesen (Hül- 
sen, Der Spiegel 21/2015, 72). 


Frankreich 


Mitarbeiter-Scan über 
soziale Medien 


Drei französische Wissenschaftler 
wollten mit einem Experiment heraus- 
zufinden, in welchem Umfang Firmen 
soziale Medien wirklich nutzen. Das Er- 
gebnis, das sie am 11.08.2015 auf Jahres- 
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tagung des Ökonomenvereins „European 
Economic Association“ (EEA) in Mann- 
heim vorstellten, ist aufschlussreich für 
Stellenbewerbende. Serge Pajak und zwei 
andere Ökonomen von der Uni Paris Süd 
bewarben sich für ihre Studie mehr als 
ein Jahr lang unter zwei fiktiven Namen 
bei französischen Firmen. Dabei ver- 
schickten sie für beide Scheinkandidaten 
identische Unterlagen, die völlig iden- 
tische Fähigkeiten für den Job zeigten. 
Der einzige Unterschied zwischen den 
Bewerbenden: Im Netz konnte die Firma 
bei den Kandidaten eine Abweichung fin- 
den, wenn sie sich die Facebook-Profile 
ansah: Der eine Bewerber war demnach 
in Marokko geboren, nicht in Frankreich 
wie der andere. Das Ergebnis war eindeu- 
tig: Der angebliche Marokkaner wurde in 
13% aller Fälle zu einem Bewerbungsge- 
spräch eingeladen. Der angebliche Fran- 
zose dagegen in 21% aller Fälle. 

Aus den Ergebnissen des Experimentes 
lässt sich erkennen, dass Firmen tatsäch- 
lich Daten über Bewerbende in sozialen 
Medien scannen, anders, als sie es oft 
behaupten. Zudem muss der Schluss ge- 
zogen werden, dass Arbeitgeber Bewer- 
ber aufgrund von Merkmalen wie ihrer 
Herkunft diskriminieren. Das ist ebenso 
wie die Diskriminierung etwa wegen des 
Geschlechts in vielen Ländern verboten 
- es wird aber praktiziert, wie die Studie 
nahelegt. Einen weiteren Beleg für ihre 
Erkenntnisse erhielten die Forscher, als 
Facebook das Design der Profilseiten 
veränderte. Auf einmal rutschte die In- 
formation über den Geburtsort auf eine 
Untersektion der Hauptseite, die man erst 
anklicken musste. Prompt erhielt der an- 
gebliche Marokkaner, der nicht mehr auf 
den ersten Blick als solcher zu erkennen 
war, mehr Einladungen. Wie schützen 
sich Bewerber vor solchen Diskriminie- 
rungen? Der Rat liegt auf der Hand: In- 
dem sie weniger über sich im Netz preis- 
geben, um nicht nackt auf Facebook zu 
sein (Hagelüken, Nackt durch Facebook, 
SZ 16.08.2015, 17). 


Belgien 


Diskussion über Flücht- 
lings-Kennzeichnung 


Der belgische Innenminister Jan Jam- 
bon von der flämisch-nationalistischen 


N-VA hat mit seinem im Rundfunk ge- 
machten Vorschlag Wirbel ausgelöst, 
alle Asylsuchenden sollten ein Kenn- 
zeichen tragen, auf dem Name, Foto 
und Adresse ihres Flüchtlingsheims ver- 
zeichnet sind. Bei Polizeikontrollen sei- 
en sie damit schneller zu identifizieren. 
MenschenrechtlerInnen _protestierten 
umgehend. Die Opposition sprach von 
„Stigmatisierung, die an die schlimms- 
ten Perioden der Geschichte erinnert“. 
Jambons Ministerium präzisierte später, 
es handele sich keineswegs um einen 
„Badge“, den Flüchtlinge um den Hals 
tragen oder am Körper befestigen müss- 
ten. Das Ganze sei freiwillig und solle 
den Betroffenen das Leben nur erleich- 
tern (Kennzeichen für Flüchtlinge, SZ 
29.10.2015, 8). 


Italien, weltweit 


Spähsoftware-Export 
durch Hacking Team 


- Leak 


Anfang Juli 2015 stellte ein Unbe- 
kannter rund 400 Gigabyte interner 
Unterlagen der italienischen Firma 
„Hacking Team“ ins Internet, darun- 
ter Dokumente, E-Mails, Verträge und 
sogar Teile des Programmcodes der 
Hacking-Team-Spähsoftware. Auch das 
Twitter-Konto der Firma hatte der Un- 
bekannte übernommen und machte da- 
rüber öffentlich, dass er die Interna der 
Firma geraubt hatte. Hacking Team hat 
den Trojaner „Remote Control System“ 
programmiert, mit dem u. a. Zielperso- 
nen für die kurdische Autonomiebehör- 
de im Nordirak überwacht werden. Das 
Programm sorgt für die komplette Über- 
wachung der infiltrierten Smartphones 
und Computer. Die Software überwin- 
det Verschlüsselung und kann Handys in 
Wanzen verwandeln. Sie hilft Strafver- 
folgern beim Überführen von Schwerst- 
kriminellen, ist aber zugleich auch ein 
mächtiges Instrument auf einem kaum 
zu kontrollierenden Markt. Der Chef 
des Geheimdienstes von Zypern musste 
zurücktreten, weil die veröffentlichten 
Dokumente zeigen, dass seine Behörde 
Hacking-Team-Software nutzte, deren 
Einsatz nach zypriotischem Recht ille- 
gal ist. Auch in Deutschland dürften die 
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Polizeibehörden die Software nur unter 
engen Voraussetzungen einsetzen. 

In einem Schulungsdokument für 
Vertriebsmitarbeiter heißt es ausdrück- 
lich: „Gehe nicht auf die Hacking Team 
Website“. Das Demo Kit, mit dem die 
Fähigkeiten des Trojaners zukünftigen 
Kunden in aller Welt präsentiert werden 
sollen, habe mit Absicht nirgends das 
Logo der Firma aufgedruckt. Im Hand- 
buch steht, dass die Hacking Team Soft- 
ware selbst keine Spuren verursache, 
„keine Vibration, kein Geräusch oder 
grafischen Effekt“. Nichts soll Rück- 
schlüsse auf die Firma zulassen. 

Aus den Unterlagen zeigt sich eine 
geschäftliche Dreiecksbeziehung zwi- 
schen Programmierern von Hacking 
Team in Italien, Kunden und Überwa- 
chern im Irak und einem Dienstleister in 
Deutschland. Im Städtchen Lebach im 
Landkreis Saarlouis koordiniert Simon 
T. als technischer Supporter das Ausspä- 
hen für Hacking Team und kann darüber 
Tastaturanschläge, Webseitenaufrufe, 
Passworteingaben der überwachten Ge- 
räte nachvollziehen. Die Software der 
Firma Hacking Team ist ohne techni- 
schen Support nicht oder nur sehr kurze 
Zeit nutzbar. 


- Exportkontrolle 


Als die Bundesregierung im Septem- 
ber 2014 die Peshmerga-Kämpfer mit 
Waffen für den Kampf gegen den Isla- 
mischen Staat (IS) ausstattete, war da- 
mit eine Kursänderung in der deutschen 
Außenpolitik verbunden. Die kurdische 
Autonomiebehörde hatte schon 2010 
digitales Rüstzeug aus Deutschland er- 
halten: Die deutsche Firma Intech-Solu- 
tions mit Sitz in Neufahrn bei Freising 
lieferte 2010 den Hacking-Team-Tro- 
janer an das „Security and Intelligence 
Department“ in Arbil, für die Simon 
T. als freier Mitarbeiter arbeitet. 2015 
wurde der Vertrag mit der kurdischen 
Regionalregierung um ein weiteres Jahr 
verlängert. Insgesamt haben sie bisher 
rund 500.000 Euro in die Überwachung 
investiert. 

Experten schätzen den Markt für Über- 
wachungstechnologie auf mehr als fünf 
Milliarden US-Dollar jährlich. Ungefähr 
ein Dutzend Firmen weltweit stellt soge- 
nannte offensive Spähsoftware her, die 
tief in die Rechner von Überwachungs- 
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zielen eindringt. Der kleine und äußerst 
lukrativen Markt staatlicher Überwa- 
chung war bis Anfang 2015 weitgehend 
unreguliert. In Deutschland gab es au- 
Ber einem Exportverbot für Syrien und 
Iran keine gesetzlichen Beschränkungen 
für die Ausfuhr von Spähsoftware. Die 
Bundesregierung hatte sogar Export- 
bürgschaften für einzelne Firmen über- 
nommen. Bundeswirtschaftsminister 
Sigmar Gabriel verfügte dann aber 2014 
durch Einzeleingriffe einen faktischen 
Exportstopp. Seit Januar 2015 gilt zu- 
dem eine EU-Verordnung, gemäß der 
Spähsoftware gemäß dem Wassenaar- 
Abkommen für Exportkontrollen als 
Dual-Use-Gut eingestuft wird. Die Aus- 
fuhr von Spähsoftware außerhalb der 
EU ist nun genehmigungspflichtig. Am 
09.07.2015 führte die Bundesregierung 
zusätzliche Änderungen in der Außen- 
wirtschaftsverordnung ein, wonach 
auch die technische Unterstützung von 
Spähsoftware kontrolliert werden soll. 

Die Ausfuhr der Software in den Irak 
wurde bis Anfang 2015 von keiner Be- 
hörde kontrolliert. Hacking-Team-Spre- 
cher Eric Rabe teilte mit, dass man nun 
eine „globale“ Ausfuhrgenehmigung 
habe. Das italienische Ministerium für 
wirtschaftliche Zusammenarbeit bestä- 
tigte, allerdings ohne diese zu spezifi- 
zieren, dass es eine Genehmigung für 
„nicht sensitive Länder“ gebe. 


- Kooperation mit Diktatoren 


Schon seit Jahren kritisieren Men- 
schenrechtsgruppen, dass Hacking 
Team ihre Spähsoftware auch an repres- 
sive und diktatorische Regime verkauft, 
was die Firma bislang bestritt. Sprecher 
Eric Rabe erklärte nach der Veröffentli- 
chung der Unterlagen, man habe „keine 
Gesetze gebrochen“ und sich „komplett 
ethisch verhalten“. Die Firma sieht sich 
als Dienstleister der Guten. In dem 
Leak finden sich allerdings Verträge mit 
Geheimdiensten und Polizeibehörden 
aus Ländern wie Ägypten, Äthiopien, 
Honduras, Russland und Kasachstan. 
In diesen Staaten können regimekriti- 
sche Äußerungen ein Verbrechen sein. 
Die Hacking-Team-Trojaner können so 
auch zum Ausspähen von Computern 
und Telefonen von Demokratieaktivis- 
ten eingesetzt werden, was das Hacking 
Team offenbar bewusst in Kauf nahm. 


Ein Hacking-Team-Mitarbeiter kom- 
mentierte 2012 ironisch die Vorwür- 
fe bahrainischer Aktivisten gegen den 
deutschen Konkurrenten Finfisher, dass 
dessen Software gezielt zur Ausspähung 
der Demokratiebewegung genutzt wer- 
de, mit „Eine gute Geschäftsgelegenheit 
in Bahrain“. 2013 kaufte das Bahraini- 
sche Verteidigungsministerium dann tat- 
sächlich in Mailand ein, Hacking Team 
berechnete 210.000 €. 


- Das Unternehmen 


Die 2003 gegründete Firma in Mai- 
land, an der die italienische Region 
Lombardei zu 26% beteiligt ist, hatte 
zunächst geholfen, anderen die eigene 
IT-Infrastruktur zu sichern, indem sie 
die Systeme ihrer Kunden hackten, um 
die Schwachstellen herauszufinden. Un- 
ter den Kunden sind große Namen wie 
etwa die Allianz. Aus den geleakten Ab- 
rechnungen ergibt sich, dass die Firma 
sich wohl seit 2011 auf das lukrativere 
Geschäft mit der staatlichen Angriffs- 
software spezialisierte. Hacking Team 
avancierte schnell zu einem wichtigen 
Akteur mit einem Jahresumsatz von 
7,73 Millionen € im Jahr 2014. 

Geschäftsführer David Vincenzet- 
ti schrieb in einer Email von 2012, als 
Kunden verunsichert auf die anhaltende 
Kritik an dem sogenannten Bundestroja- 
ner in Deutschland reagieren: „Ihr habt 
es hier mit dem Ferrari der Cyberangrif- 
fe zu tun“. Im Februar 2015 schrieb er: 
„Wir sind sicher berüchtigt, vielleicht 
der berüchtigste Name im Markt der An- 
griffssoftware. Das ist großartig“. Sich 
selbst bezeichnet er einmal als „Kriegs- 
maschine, arbeitsmäßig“. Gemäß dem 
Leak beobachtet David Vincenzetti die 
Weltlage genau. Er hatte Artikel der 
„New York Times“ abonniert und einen 
Filter für die Worte „Nuklear“ und „Fol- 
ter“ eingerichtet. Berichte, die er für be- 
sonders interessant hielt, schickte er an 
seine Mitarbeiter weiter. Einen Artikel 
über Saudi Arabiens hartes Durchgrei- 
fen gegenüber liberaleren Kräften leitet 
er als „absolute Leseempfehlung“ wei- 
ter, „gerade weil Saudi eine lokale Su- 
permacht (und ein sehr wichtiger Kunde 
von uns) ist“. 

Als im Iran 2011 Demonstrationen 
durch die Straßen Teherans ziehen, ver- 
abredete sich ein Hacking-Team-Mitar- 
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beiter mit einem Vertreter der iranischen 
Telekommunikationsgesellschaft TCT zu 
einem „privaten Treffen“, um den Ha- 
cking-Team-Trojaner vorzustellen, der 
auch „Skype und MSN Chats“ abfangen 
kann. Sprecher Eric Rabe gab an, Iran sei 
nie ein Kunde der Firma gewesen. 2014 
wurden die Vereinten Nationen (UN) auf 
einen Deal von Hacking Team mit dem 
sudanesischen Geheimdienst aufmerk- 
sam. Der Sudan ist seit 2005 strengstens 
sanktioniert. Dennoch verkaufte Hacking 
Team 2012 seinen Trojaner für 869.000 
Euro an den Staat. Die UN kommt in 
einem Brief vom März 2015 zu der Be- 
wertung, die Software sei ideal dazu ge- 
eignet, bei militärischer Aufklärung zu 
helfen: „Sie könnte in die Kategorie Mi- 
litärische Ausrüstung oder Unterstützung 
fallen.“ Gemäß Sprecher Rabe ist der Su- 
dan heute kein Kunde mehr. 

Auch die Schweiz, Polen und die USA 
beziehen Überwachungssoftware aus 
Mailand. Der luxemburgische Geheim- 
dienst wird, als Steuerbehörde getarnt, 
seit 2012 als Kunde betreut - ebenfalls 
von Simon ’T. im Saarland. Sogar Beam- 
te des Bundeskriminalamts (BKA) und 
der Landespolizei Bayern besuchten 
die Firma im März 2011 und im Januar 
2012, um sich den RCS Trojaner vor- 
führen zu lassen. 

Wenige Wochen nach dem Besuch 
erbat ein Techniker des BKA Hilfe für 
einen „speziellen Fall“. Man benötige 
einen Keylogger für einen Mac-OSX 
Computer: „Haben Sie ein Produkt, 
das unseren Bedürfnissen entspricht?“ 
Ob Hacking Team ein Angebot mach- 
te, lässt sich nicht nachvollziehen. Eine 
BKA-Sprecherin erklärte: „Im BKA fin- 
den keine Softwareprodukte der Firma 
Hacking Team Anwendung.“ 

Eine E-Mail von Simon ’T. zeigt, dass 
andere Firmen vorsichtiger sind: Der 
Versuch, die französische Konkurrenz- 
firma Vupen als neuen Lieferanten zu 
gewinnen scheiterte, weil diese sich wei- 
gerte, in den Irak zu exportieren. Auch 
Hacking Team Mitarbeiter sorgen sich 
mittlerweile, gemäß einer Mail, um die 
Region: Der „Islamische Staat“ stehe 20 
Kilometer vor Arbil: „Es wäre hilfreich 
zu verstehen, wie die Situation mit Si- 
mon und dem Kunden Condor ist, und 
wie wir verhindern, dass die Installation 
in die falschen Hände gerät. Um uns zu 
schützen und auch den Kunden.“ David 
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Vincenzetti sah allerdings eher die Ge- 
schäftschancen, als er in einem weite- 
ren E-Mail-Austausch schrieb, Hacking 
Team sei bereits autorisiert, an die iraki- 
sche Regierung zu liefern: „Sie werden 
Cybertechnologien bald sehr nötig ha- 
ben, um die Terroristen zu bekämpfen. 
Let‘s kick some ass!“ (Kampf/Spinrath/ 
Strozyk/Tandriverdi, Deutsche Firmen 
koordinieren Späh-Angriffe, www. 
sueddeutsche.de 15.07.2015; diess., Au- 
Ber Kontrolle, SZ 16.07.2015, 17). 


Großbritannien 


„Sun“-Reporter wegen 
Datenbeschaffung 
bestraft 


Ein Reporter des Boulevardblatts 
„sun“ wurde für den Kauf vertraulicher 
Informationen bei einem Polizisten ei- 
ner Anti-Terror-Einheit am Londoner 
Flughafen zu einer Freiheitsstrafe von 
18 Monaten auf Bewährung wegen Bei- 
hilfe und Anstiftung zum Amtsmiss- 
brauch verurteilt („Sun“-Reporter ver- 
urteilt, SZ 30./31.05.2015, 46). 


Schweden 


Bei Klarna wird nach 
Lieferung bezahlt 


Niklas Adalberth und Sebastian Sie- 
miatkowski haben in Schweden einen 
Bezahldienst „Klarna“ aufgebaut, bei 
dem Kunden ihre Waren erhalten, bevor 
sie zahlen. Mitgeliefert wird eine Rech- 
nung, die sie innerhalb von 14 Tagen 
begleichen müssen - bei Klarna, nicht 
beim Händler. Das Start-up übernimmt 
gegen Gebühr dessen Risiko, dass einer 
nicht bezahlt. Etwa 50.000 Händler ar- 
beiten weltweit mit Klarna zusammen. 
Fünf Millionen Menschen in Schwe- 
den nutzen laut Adalberth den Dienst, 
40% aller Online-Zahlungen liefen über 
Klarna. In Deutschland, wo gut achtmal 
mehr Menschen leben, sind es nach ei- 
genen Angaben rund 25 Millionen Nut- 
zende. Klarna hat heute 1.300 Mitarbei- 
tende und einen Jahresumsatz von 240 
Millionen Euro. 

Die beiden studierten mit einem wei- 
teren Freund an der Stockholm School 


of Economics und nutzten zu dritt das 
Gründerzentrum der Uni, um die Idee 
mit dem Bezahldienst zu entwickeln 
und Investoren vorzustellen. 2004 traten 
die Firmengründer an der Uni bei ei- 
nem Start-up-Wettbewerb an. Die Jury, 
in der Vertreter wichtiger Unternehmen 
der schwedischen Wirtschaft vertreten 
waren, zeigte sich, so Adalberth, we- 
nig beeindruckt: „Sie haben gesagt: Ihr 
scheint ja ganz nette Jungs zu sein, aber 
macht lieber etwas anderes. Damit habt 
ihr keine Chance.“ 2005 gründeten sie 
trotzdem Klarna. 

Inzwischen gibt es den Bezahldienst 
in 18 Ländern, seit 2010 in Deutschland. 
Der Start war holprig, Verbraucher klag- 
ten, dass Mahnungen zu früh und ohne 
Vorwarnung kamen - und mit ihnen eine 
Gebühr von derzeit 4,95 Euro. Früher 
war sie noch höher. In den Verbrauch- 
erforen häuften sich die Beschwerden. 
Inzwischen können Kaufende die Zah- 
lungsfrist kostenlos um zehn Tage ver- 
schieben und erhalten eine Erinnerungs- 
mail, zwei Tage bevor sie ausläuft. Für 
viele Händler in Schweden übernimmt 
Klarna inzwischen den gesamten Be- 
zahlvorgang, nicht mehr nur die Option, 
auf Rechnung zu kaufen. Check-out- 
Service heißt das, die virtuelle Kasse: 
Der Kunde sucht Waren im Internet aus, 
klickt auf „Kaufen“ und kann dann ent- 
scheiden, ob er per Kreditkarte, Über- 
weisung, Ratenkauf oder Lastschrift 
zahlen möchte. Wählt er nichts aus, be- 
kommt er automatisch eine Rechnung. 
Wenn Klarna hinter diesem Check-out 
steht, zahlt er immer an Klarna - egal auf 
welchem Weg. 

Klarna nimmt eine Bonitätsprüfung 
vor und nutzt hierfür Auskunfteien wie 
die Schufa, sowie 139 weitere Variab- 
len. Wenn jemand um drei Uhr nachts 
einkauft, ist es, so Adalberth, beispiels- 
weise wahrscheinlicher, dass er nicht 
bezahlen wird als um drei Uhr nach- 
mittags. Klarna entscheidet so über bis 
zu 300.000 Transaktionen am Tag. Wer 
als nicht kreditwürdig eingestuft wird, 
muss vor Lieferung zahlen. Die Kaufen- 
den bekommen in der Regel von diesen 
Berechnungen nichts mit. Der Kaufvor- 
gang ist einfach gestaltet. Wer z. B. bei 
einem Online-Buchhändler ein Buch 
kaufen möchte, klickt auf „kaufen“. 
Damit ist die Bestellung abgeschlossen, 
weitere Angaben sind nicht notwendig. 
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Sobald das Buch verschickt ist, taucht 
es ım Klarna-Account auf. Dort sind 
alle offenen Rechnungen aufgelistet, 
inklusive Preis und Fälligkeit. Klickt er 
hier auf „bezahlen“, wird das Geld so- 
fort überwiesen. Pin oder Kontonummer 
müssen nicht angegeben werden, wenn 
zuvor das Bankkonto online mit Klarna 
verbunden worden ist. Soweit ist das 
System in Deutschland allerdings noch 
nicht (Bigalke, Aus Trotz zum Erfolg, 
SZ 31.08.2015, 22). 


Israel 


Videoüberwachung soll 
Frieden auf den Tempel- 
berg bringen 


Ein konkretes Ergebnis der Krisenge- 
spräche in der jordanischen Haupstadt 
Ammann am 24.10.2015 bei der Vermitt- 
lungsmission des US-Außenministers 
John Kerry im Nahen Osten ist die Ein- 
führung eines umfassenden Videoüber- 
wachungssysstems auf dem Tempelberg 
in Jerusalem. Eine Welle der Gewalt 
hatte bis dahin allein im Oktober 2015 
mehr als 60 Tote gefordert. Kerry: „Die 
ganze Gewalt und die Anstiftung zu Ge- 
walt müssen aufhören.“ Kerry hatte zu- 
nächst mit Israels Premierminister Ben- 
jamin Netanjahu und dann mit dem jor- 
danischen König Abdullah II sowie mit 
Palästinenser-Präsident Mahmud Abbas 
verhandelt. Natanjahu stimmt dem „ex- 
zellenten Vorschlag“ des jordanischen 
Monarchen zu, das Gelände, das die 
Muslime Haram al-Scharif nennen und 
auf dem sich die islamischen Heiligtümer 
Al-Aksa-Moschee und Felsendom befin- 
den, rund um die Uhr zu überwachen. 

Kerry hofft, dass mit diesem „game 
changer“ die Wende kommen könnte. 
Netanjahu bestätigte, dass sich die is- 
raelische Grundhaltung nicht verändert 
habe: „Muslime beten auf dem Tem- 
pelberg. Nicht-Muslime besuchen den 
Tempelberg.“ Vorausgegangen waren 
zwei Offensiven auf dem Tempelberg, 
der Muslimen wie Juden gleicherma- 
Ben heilig ist: Radikale jüdische Grup- 
pierungen zeigten verstärkt Flagge und 
verstießen offen gegen das vereinbarte 
Gebetsverbot für Nicht-Muslime. Auf 
palästinensischer Seite wurde dies als 
Provokation verstanden und war Anlass 
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für die Mobilisierung für den „Kampf 
um Al-Aksa“. Nach der Einigung über 
die verstärkte Kontrolle haben jüdische 
Tempelberg-Aktivisten sogleich dazu 
aufgerufen, jetzt erst recht in Massen 
dorthin zu strömen. Die Palästinenser 
bleiben skeptisch und fürchten, dass die 
Kameras nur zu neuen Festnahmen füh- 
ren. Die Revolte wird auf beiden Seiten 
von jugendlichen EinzeltäterInnen ge- 
tragen, die schwer zu kontrollieren und 
zu beeinflussen sind. Zudem trat der 
„Islamische Staat“ (IS) mit einem Vi- 
deo auf den Plan, in dem ein maskierter 
Kämpfer auf Hebräisch droht, die IS- 
Milizen würden „die Al-Aksa-Moschee 
als Eroberer betreten“ und es bleibe 
„bald kein Jude mehr in Jerusalem üb- 
rig“ (Münch, Kameras als Friedensbrin- 
ger, SZ 26.10.2015, 7). 


USA 


Röntgen-Vans in 
New York 


In New York sind Kleintransporter der 
Polizei unterwegs, die innen mit Rönt- 
genstrahlern und einem eigenen Genera- 
tor ausgestattet sind. Diese Transporter 
sind in der Lage, durch Häuserwände, 
durch Kleidung von PassantInnen und in 
fremde Fahrzeuge hineinzuschauen. Auf 
Anfrage der Bürgerrechtsorganisation 
Civil Liberties Union (ACLU) erklärte 
New Yorks Polizeichef William Brat- 
ton offensichtlich ziemlich genervt, so 
etwas mache sie natürlich nicht. Jeder, 
der behaupte, dass die Polizei ihre Rönt- 
genmobile nicht gesetzestreu verwende, 
könne ja vor Gericht ziehen: „Und sie 
werden verlieren!“. 

Die 800.000 Dollar teuren Transporter, 
Modell Mercedes-Benz Sprinter, waren 
zuvor — soweit bekannt - vom US-Militär 
im Irak eingesetzt worden. Mit ihrer Hil- 
fe sollten Waffendepots und Bombenla- 
ger enttarnt werden. In einem Werbeclip 
der Herstellerfirma lobt diese ihre „bei- 
spiellose Technik“. Der US-amerikani- 
sche Zoll setzt diese Geräte auch ein, um 
Schmugglern das Handwerk zu legen. 
Eine befriedigende Antwort, wofür diese 
Vans vom New York Police Department 
(NYPD) genutzt werden, gibt es bisher 
nicht. Auf diese Frage antwortete Brat- 
ton nur, sie würden nicht dazu eingesetzt, 


Menschen auf Waffen hin abzusuchen: 
„Ich werde absolut nichts sagen.“ 2013 
hatte sich Bratton noch als Freund der 
Transparenz geriert: „Das NYPD sollte 
keine Geheimnisse haben.“ Schon 2011 
hatte der US-Journalist Michael Grabell 
Fragen zu den Transportern gestellt: „Ich 
wollte einfache Dinge wissen: Für was 
genau diese Transporter benutzt werden, 
ob es Studien gab hinsichtlich gesund- 
heitlicher Risiken und wie die Verträge 
zustande gekommen sind.“ Trotz Beru- 
fung auf das Informationsfreiheitsgesetz 
blockiert die Behörde jede Auskunft und 
die Vorlage der Dokumente mit der Be- 
gründung, dass die Informationen auch 
Terroristen interessieren könnten. Eine 
Richterin des Obersten Gerichts des 
Bundesstaates New York ordnete 2014 
an, dass die angeforderten Dokumen- 
te zu übergeben sind: „Das hier ist eine 
Demokratie mit einer transparenten 
Regierung.‘ Der Einsatz der Röntgen- 
Vans könne zudem signifikante Risiken 
für die Gesundheit mit sich bringen, so 
das Urteil: „Das NYPD bestreitet diesen 
Punkt nicht.“ 

Der Röntgen-Van setzt eine Technik 
ein, bei der Geräte und Körper ionisie- 
render Röntgenstrahlen ausgesetzt wer- 
den. Diese können dazu führen, dass 
die Gene mutieren und sich z. B. Krebs 
bildet, auch schon, wie angeblich hier, 
bei geringer Dosis. Grabell wartet im- 
mer noch auf die Herausgabe der Doku- 
mente. Es ist nicht einmal bekannt, wie 
lange die Röntgen-Vans schon im Ein- 
satz sind. In einem 2007 erschienenen 
Buch über die Arbeit polizeilicher Bom- 
bensucher wird ein New-York-Besuch 
des damaligen Präsidenten George W. 
Busch im Jahr 2004 erwähnt. Dort wird 
beschrieben, dass Autofahrer bei einer 
Sicherheitskontrolle ihre Fahrzeuge im 
Schritttempo zwischen zwei Transpor- 
tern hätten fahren müssen (Tandriverdi, 
Supergeheim, SZ 28.10.2015, S. 10). 


USA 


Bauarbeiterüberwachung 
per Drohnen 


Beim Bau des Sportstadions in Sacra- 
mento/Kalifornien schwirren einmal 
täglich mehrere Drohnen über die Bau- 
stelle. Mit dem so gesammelten Video- 
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material wird am Computer eine drei- 
dimensionale Darstellung vorgenom- 
men, die über eine spezielle Software 
mit ebenfalls digitalisierten Plänen der 
Architekten abgeglichen wird. Fällt 
ein Abschnitt hinter das Soll zurück, 
gibt die Software eine Warnung aus. 
Das von US-Wissenschaftlern und ei- 
ner japanischen Baufirma entwickelte 
Computerprogramm soll den Überblick 
und das Einhalten der Terminplanung 
sicherstellen. Erfasst wird auch die in- 
dividuelle Arbeitsleistung der Bauar- 
beiter. 

In Deutschland wären derartige 
Baustellenkontrollen mit individuel- 
ler Leistungskontrolle nur unter en- 
gen Voraussetzungen zulässig. Doch 
der Düsseldorfer Arbeitsrechtsanwalt 
Peter Kaumanns kennt den Fall eines 
deutschen Hausbesitzers, der an seiner 
Pool-Baustelle eine Kamera installier- 
te, um im Urlaub aus der Ferne den 
Fortschritt kontrollieren zu können. 
In einem anderen Fall habe ihm ein 
Bauherr in Frankfurt vorgeführt, wie 
die an einem sechs Meter hohen Mast 
montierte Webcam Bilder lieferte, auf 
denen die zehn bis zwanzig Bauarbei- 
ter gut erkennbar waren. Zwar sei es 
dabei um den „Showeffekt“ gegangen, 
also darum, den Käufern der dort ent- 
stehenden Luxuswohnungen im Zeit- 
raffer vorzuführen, was bis zum Einzug 
so alles passiert. Dennoch habe ihm das 
Bauchschmerzen bereitet. Der Anwalt 
meinte: „Datenschutz ist noch immer 
ein stumpfes Schwert.“ Er kenne eini- 
ge Unternehmen, die bedenkliche Me- 
thoden zur Kontrolle der Mitarbeiter 
einsetzen - und damit rechnen, dass 
der Verstoß ohnehin kaum geahndet 
wird (Bernau, Neue Luftmasche, SZ 
02.03.2015). 


USA 


Taschenkontrollen bei 
Apple außerhalb der 
Arbeitszeit 


Angestellte von Apple-Geschäften im 
US-Bundesstaat Kalifornien sind mit ei- 
ner Klage gegen den Konzern geschei- 
tert, rückwirkend die Durchsuchungen 
ihrer Taschen und die damit verbunde- 
ne Wartezeit als Arbeitszeit vergütet zu 
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bekommen. US-Bezirksrichter William 
Alsup wies eine Sammelklage von Be- 
schäftigten am 07.11.2015 zurück: Es 
stehe ihnen frei, mit oder ohne Tasche 
zur Arbeit zu kommen. Apple hätte ih- 
nen auch verbieten können, überhaupt 
eine Tasche mit zur Arbeit zu bringen. 
Die Beschäftigten in Apple-Geschäften 
müssen beim Verlassen ihres Arbeits- 
platzes ihre Taschen durchsuchen las- 
sen (Apple-Mitarbeiter gescheitert, SZ 
09.11.2015, 22). 


USA 


KünstlerInnen-Ranking 
im Internet 


Der 28jährige Internet-Dienstleister 
Carlos Rivera hat Februar 2014 eine 
Internetseite „Art Rank“ eingerichtet, 
in der er Gegenwartskünstler nach ih- 
rem Marktwert einstuft und auf einer 
Rankingliste präsentiert nach Katego- 
rien wie „Jetzt Kaufen“ (für weniger 
als 10.000, 30.000 oder 100.000 $), 
„Jetzt Verkaufen“ oder ‚„Kommender 
Klassiker“. Vierteljährlich wird auf der 
Webseite gelistet, wer zukünftig in der 
Kunstszene boomen könnte und wer 
möglicherweise an Wert verliert. Bis zu 
10 AbonnentInnen erhalten für 3.500 $ 
im Quartal die Kaufempfehlung schon 
Wochen bevor sie auf der allgemein zu- 
gänglichen Seite veröffentlicht werden. 
Rivera behauptet, wer in den vergan- 
genen 16 Monate alle Empfehlungen 
beherzigt habe, hätte eine Rendite von 
4.200% eingefahren. 

Das kontroverse Ranking wird mit 
einem Algorithmus ermittelt. Grundla- 
ge der Berechnung sind zurückliegen- 
de Verkaufszahlen, Nennungen in Zei- 
tungen, zukünftige Ausstellungen und 
Daten aus sozialen Netzwerken. Rivera 
verteidigt sein Vorgehen: „Personen zu 
ranken ist nichts Neues. Schauen Sie auf 
die Oscars oder auf Athleten“. 

KritikerInnen werfen Rivera vor, mit 
seiner Seite kaltherzige Kunstspekula- 
tion zu befeuern. Der langfristige Wert 
von Kunst lasse sich nicht mit einem Al- 
gorithmus bestimmen. Ob eine Künst- 
lerIn in 10 oder 20 Jahren erfolgreich 
ist, hänge z. B. nicht davon ab, wie oft 
Werke in sozialen Netzwerken geteilt 
werden. Dem hält Rivera entgegen: „Ich 


kann auch nicht sagen, ob Kunst gut oder 
schlecht ist; ich kann nur beurteilen, was 
derzeit der Marktwert dafür ist“. Sein 
Ziel sei es, mittels der prognostizierten 
Marktentwicklungen den Kunstmarkt 
transparenter zu gestalten: „Es gibt vie- 
le, die nicht wissen, wie man in diesen 
Markt einsteigt und wann man wieder 
aussteigen sollte.“ Einige Jahre zuvor 
war Rivera ein kleiner Galerist, der in 
West Hollywood unter dem Namen 
Rivera&Rivera „inefhizient“ Fotografien 
verkaufte: „Es sind immer viele gekom- 
men, aber die wenigsten haben etwas 
gekauft.“ Ende 2012 schloss Rivera, der 
zuvor Film und Betriebswirtschaftslehre 
an der University of Southern California 
in Los Angeles studiert hatte, die Gale- 
rie. Mit Rivera arbeiten ein Datenanalyst 
und ein Finanzexperte an „Art Rank“, 
die am Anfang noch „Sellyoulater“ hieß 
(Schinkels, SZ 03.09.2015, 13). 


Saudi-Arabien 


Verlobte wollen Transpa- 
renz über künftigen 
Gatten 


Mehrere Klägerinnen aus der Stadt 
Abha fordern vor Gericht, dass der 
zuständige Scheich Einsicht in Poli- 
zei- und Krankenakten über den Bräu- 
tigam erhält und diese Informationen 
an die Braut weitergeben kann, bevor 
diese in den Ehevertrag einwilligt. 
Die Familienanwältin Najwa Salah 
meinte, die Kenntnis der persönlichen 
Biografie könne zu einer Senkung der 
Scheidungsrate im Land beitragen. Es 
gehe nicht darum, „jedes Detail aus 
der Vergangenheit“ ihres Zukünftigen 
zu erforschen. Männer könnten frühe- 
re Fehler bereut haben. Viele Frauen 
erleben nach der Trauung aber Über- 
raschungen, wenn sie die Geschichte 
ihres Vermählten näher kennenlernen. 
Gegen die rechtliche Forderung wird 
von Ahmed Al-Muabbi, Mitglied der 
Schiedsgerichte in Saudi-Arabien, ein- 
gewandt, auch durch den Koran sei 
ein gewisser Schutz der Privatsphäre 
gewährt. Nachforschungen durch eine 
Verlobte könnten das Vertrauensver- 
hältnis untergraben oder zu einer trüge- 
rischen Sicherheit führen. Lupenreine 
Akten müssten nicht automatisch be- 
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deuten, dass der Mann auch tatsächlich 
„gut“ sei. Eine Aktenprüfung könne 
Männer demütigen und ihrem Selbst- 
wert schaden. Frauen sollten aber 
durchaus erfahren, ob der Zukünftige 
schon einmal verheiratet war (Saudi- 
sche Verlobte wollen gläserne Gatten, 
SZ 15.05.2015, 10). 


Ägypten 


Polizeistaatsregelungen 
im „Anti-Terror-Gesetz“ 


Der Präsident Ägyptens Abdel Fattah 
al-Sisi hat per Dekret ein neues sog. 
Anti-Terror-Gesetz mit 54 Artikeln in 
Kraft gesetzt. Für die Gründung und 
das Anführen einer terroristischen 
Gruppierung ist die Todesstrafe oder le- 
benslange Haft vorgesehen. Die Finan- 
zierung von Attentaten wird mit lebens- 
langer Haft bestraft. Die Mitgliedschaft 
in einer solchen Vereinigung kann mit 
bis zu zehn Jahren Gefängnis geahndet 
werden, die Aufstachelung zur Gewalt, 
auch indirekt durch die „Verbreitung 
von Ideen, die zur Gewalt aufrufen“, 
mit fünf bis sieben Jahren. Die Tatbe- 
stände werden in dem neuen Gesetz 
sehr weit gefasst. Als Terrorismus wer- 
den künftig auch jegliche Angriffe auf 
staatliche Einrichtungen gewertet oder 
die Störung der öffentlichen Ordnung 
durch Gewalt oder Drohungen. Die 
Verbreitung von „Ideologien, die zur 
Gewalt anstacheln“, wird mit Haft be- 
straft. 

Für Prozesse nach dem neuen Gesetz 
werden Sondergerichte eingerichtet, die 
schneller urteilen sollen; zudem wer- 
den die Rechtsmittel von Angeklagten 
eingeschränkt. Zugleich garantiert das 
neue Gesetz Angehörigen der Sicher- 
heitskräfte Straffreiheit für die „ver- 
hältnismäßige Anwendung von Gewalt 
in Ausübung ihrer Pflichten“ im Kampf 
gegen den Terrorismus. Polizeigewalt 
und Folter sind in Ägypten verbreitet. 
In den wenigsten Fällen allerdings wer- 
den beschuldigte Beamte von der Justiz 
dafür zur Rechenschaft gezogen. 

Ein Artikel des Gesetzes droht jedem 
Geldstrafen von umgerechnet 23.000 
bis 57.500 €, der wissentlich Informa- 
tionen über Terroranschläge und Anti- 
Terror-Operationen veröffentlicht, die 
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den Angaben der Regierung wider- 
sprechen. Davon betroffen sind neben 
Journalisten auch Blogger, Menschen- 
rechtler und möglicherweise Anwälte. 
Eine erste Fassung des Gesetzes, die 
nach dem Protest des ägyptischen Jour- 
nalistensyndikats geändert worden war, 
sah noch Haftstrafen von mindestens 
zwei Jahren für solche Fälle vor. Wei- 
terhin möglich sind Berufsverbote bei 
Verstößen gegen die Standards eines 
Berufs, ohne dass Journalisten explizit 
genannt werden. Solche Strafen sind 
für ägyptische Journalisten und kleine 
Medien existenzgefährdend. Präsident 
Sisi hatte das neue Gesetz Ende Juni 
2015 nach dem tödlichen Anschlag 
auf Generalstaatsanwalt Hischam Ba- 
rakat angekündigt. Menschenrechtler 
kritisieren weitreichende Einschnitte 
in Grundrechte. Nach Ansicht von Am- 
nesty International und auch einiger 
ägyptischer JuristInnen und Menschen- 
rechtlerInnen verstößt das Gesetz ge- 
gen die Verfassung von 2014 und gegen 
internationale Abkommen, die Ägypten 
ratifiziertt hat. Die Bundesregierung 
sieht das Gesetz mit „großer Sorge“. 
Der Menschenrechtsbeauftragte Chris- 
toph Strässer sagte, Einschränkungen 
von Meinungs- und Pressefreiheit seien 
der falsche Weg, Terroristen den Nähr- 
boden zu entziehen. „Stabilität gibt 
es auf Dauer nicht ohne Grundrechte 
und den Respekt der Menschenrech- 
te“ (Krüger, Weit gefasstes Gesetz, SZ 
18.08.2015, 7). 


Thailand 


Lückenhafte Videoüber- 
wachung 


Viele Tage nach einem blutigen Bom- 
benanschlag auf den Erewan-Schrein 
in Bangkok tappte die Polizei im Dun- 
keln. Bei dem Anschlag am 17.08.2015 
in der thailändischen Hauptstadt waren 
20 Menschen getötet worden, darunter 
14 ausländische TouristInnen. Mehr als 
120 Personen wurden verletzt. Polizei- 
chef Somyot Poompanmoung gestand 
am 24.08.2015 ein, dass die Mehrzahl 
der Überwachungskameras in der Stadt 
zum Zeitpunkt des Anschlags nicht 
funktioniert habe, was die Suche nach 
den mutmaßlichen Tätern sehr erschwe- 


re: „Auf manch einer Straße gibt es viel- 
leicht 20 Überwachungskamera, aber 
nur 5 funktionieren. Die anderen sind 
aus unerfindlichen Gründen kaputt.“ Zu- 
vor hatte die Polizei eingestanden, dass 
ihr die nötige Technik für die Auswer- 
tung der Bilder fehle. Ungeachtet dieser 
und weiterer Ermittlungspannen wurden 
Mitte September ein Pakistaner sowie 
eine Frau und ein Mann aus Malaysia 
wegen des Bombenanschlags festge- 
nommen (Lückenhafte Überwachung, 
SZ 25.08.2015, 8). 


China 


„Citizen Score“ schafft 
Freiheit 


Die dominierenden chinesischen 
Online-Konzerne Alibaba und Tencent 
haben eine Anwendung aufgelegt, bei 
der für sozial erwünschtes Verhalten 
Punkte vergeben werden. Bei 350 geht 
es los; maximal zu erreichen sind 950. 
Von 600 Punkten an gibt es günstige 
Kredite und wird die Erteilung eines 
Visums erleichtert. Ab 700 Punkten 
darf man nach Singapur reisen; eine 
Reise nach Europa steht Nutzenden ab 
750 Punkten offen. Die Punkte bei die- 
sem „Citizen Score“ werden für Jubel- 
äußerungen im Netz, erwünschte sozi- 
ale Aktivitäten und richtiges Einkaufs- 
verhalten gegeben. Punktabzüge gibt 
es für Kritik an der Kommunistischen 
Partei oder an sozialen und gesell- 
schaftlichen Missständen. Die Daten 
kann jeder einsehen. In die Wertung 
fließt nicht nur das eigene Verhalten 
ein, sondern auch das von FreundInnen 
und Bekannten, mit denen man über 
soziale Medien verbunden ist. Noch ist 
das System freiwillig; von 2020 an soll 
es für alle, die einen chinesischen Pass 
besitzen, obligatorisch sein. In China 
ist das Angebot unbestritten. Der bel- 
gische Chinaexperte Rogier Creemers 
von der Oxford University vermutet, 
dass das System auf die vollständige 
Vermessung des Menschen abzielt. Es 
ähnelt den Überlegungen des Goog- 
le-Stipendiaten Douglas Coupland, 
der Punkte verteilen will, mit denen 
Menschen sich Freiheitsrechte ver- 
dienen können (Punktrichter, FAZ 
10.10.2015, S. 16). 
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PIN-Ermittlung mit 
Wärmebildkamera 


Mit Wärmebildaufnahmen der PIN- 
Pads von Geldautomaten oder Tür- 
schlössern können eingegebene Ge- 
heimzahlen identifiziert werden. IT-Si- 
cherheitsforschende haben eine Technik 
entwickelt, wie sie selbst die Reihenfol- 
ge der Eingabe feststellen können. Bis 
zu eine Minute bleiben die betätigten 
Tasten wegen der über die Finger über- 
tragenen Körperwärme für Wärmebild- 
kameras sichtbar. Die IT-Sicherheitsex- 
perten von Sec-Tec in Großbritannien 
warnen, dass diese Geräte mit knapp 
300 Euro inzwischen so erschwinglich 
sind, dass sie sich praktisch jeder leisten 
kann. Kriminelle könnten mit Hilfe der 
Wärmebildaufnahmen die eingegebene 
PIN-Nummer über den Temperaturun- 
terschied identifizieren und sich direkt 
auf ein Smartphone-Display übertragen 
lassen. Da viele solcher Geräte zur PIN- 
Eingabe über keine Sperre bei mehr- 
fach falschen Eingaben verfügen, sei es 
möglich, die Reihenfolge der erkannten 
Tasten so lange auszuprobieren, bis der 
richtige Code eingegeben wurde. Eine 
Sprecherin des Bundesverbands deut- 
sche Banken wies darauf hin, dass es bei 
dem vierstelligen von deutschen Ban- 
ken verwendeten PIN-Code 24 Kom- 
binationsmöglichkeiten gäbe, nach drei 
Fehlversuchen aber die Geheimzahl ge- 
sperrt werde. Die Forschenden bei Sec- 
Tec haben nach eigenen Angaben zwei 
verschiedene Methoden entwickelt, die 
Reihenfolge aus den Wärmebildauf- 
nahmen zu errechnen, wobei sie aber 
Details hierzu verschweigen. Möglich 
ist eine hochdetaillierte Aufnahme, auf 
der Abstufungen in der verbleibenden 
Wärme auf den Tasten entweder sicht- 
bar sind oder durch softwareseitige 
Auswertungen errechnet werden. In 
Kombination mit bereits bekannten 
Angriffen auf RFID-Chips ist es den 
IT-SicherheitsexpertInnen nach eigenen 
Angaben außerdem gelungen, die Zwei- 
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fachauthentifizierung zu knacken, die 
bei elektronischen Türschlössern zum 
Einsatz kommt. 

Die Abwehr solcher Angriffe ist rela- 
tiv einfach. So können die Nutzenden 
nach Eingabe ihrer PIN ihre gesamte 
Handfläche kurz auf den Ziffernblock 
legen und so alle Tasten gleichermaßen 
aufwärmen. Die IT-Sicherheitsexper- 
tInnen empfehlen den Herstellern den 
Einsatz von PIN-Pads aus Metall, da der 
von ihnen getestete Angriff nur mit sol- 
chen aus Kunststoff oder Gummi funk- 
tioniere. Die Institute des Deutschen 
Sparkassen- und Giroverbands nutzen 
Metalltasten bei ihren Geldautomaten. 
David Wray von Sec-Tec teilte mit, er 
kenne noch keinen Fall, bei dem Kri- 
minelle das Verfahren genutzt haben, 
um an Bankkonten zu gelangen: „Ange- 
sichts der Tatsache, dass die Technolo- 
gie so günstig ist, ist zu erwarten, dass es 
in Zukunft solche Versuche geben wird“ 
(Güler, Warm, wärmer, am wärmsten, 
SZ 01.09.2015, 26; Wärmebildkameras 
können PINs auf Geldautomaten verra- 
ten, www.golem.de 24.08.2015). 


Mikroben identifizieren 
Personen und 
Umgebungen 


Die Bakterien eines Menschen sind 
fast so charakteristisch wie ein Fingerab- 
druck. Auch Rückschlüsse auf den Auf- 
enthaltsort sind möglich. Mehr als 1.000 
Mikrobenarten siedeln auf und vor allem 
im Körper des Ökosystems Mensch. 
Die meisten von ihnen sind passiv und 
machen keinen Ärger. Viele nützen dem 
Menschen, indem sie Nahrungsmittel 
in verwertbare Substanzen verwandeln, 
Krankheitserreger fernhalten oder das 
Immunsystem trainieren. Nur die we- 
nigsten verursachen unter Umständen 
Krankheiten. Bei jedem Menschen sieht 
diese Mischung ein kleines bisschen an- 
ders aus. Die mikrobielle Bevölkerung 
ist so individuell zusammengewürfelt, 
dass sie sich eignet, um ihren jeweiligen 


menschlichen Gastgeber eindeutig zu 
identifizieren - etwa wie ein Fingerab- 
druck oder eine Analyse des Erbguts. 

Forschende um den Biostatistiker Cur- 
tis Huttenhower von der Harvard School 
für Öffentliche Gesundheit haben in ei- 
nem Beitrag im Fachjournal „PNAS“ 
beschrieben, wie das praktisch funkti- 
onieren kann, welche Schwierigkeiten 
damit verbunden sind und welche ethi- 
schen Probleme das aufwirft. Sie haben 
einen Computeralgorithmus entwickelt, 
der Bakterienproben von Freiwilligen 
ihren SpenderInnen zuordnen soll. An 
120  Versuchsteilnehmenden erprobte 
die Forschungsgruppe ihre Software und 
kam zu sehr gemischten Ergebnissen, ab- 
hängig davon, von welcher Körperstelle 
die Bakterienproben genommen worden 
waren. Auf der Haut veränderte sich die 
mikrobielle Zusammensetzung bei den 
meisten ProbandInnen im Laufe der 
Zeit so sehr, dass nur 30 von 100 Proben 
eindeutig zugeordnet werden konnten. 
Bei Stuhlproben hingegen lag die Quote 
deutlich höher. Ein Jahr nach der ersten 
Analyse konnten die Forschenden in acht 
von zehn Fällen frische Stuhlproben rich- 
tig der Spendeperson zuweisen. 

Die Bakterien könnten der Forensik 
verraten, ob ein Verdächtiger am Tatort 
war. Um etwa Einbrecher anhand ihrer 
hinterlassenen Mikroben zu identifizie- 
ren, scheint diese Methode jedoch we- 
sentlich schlechter geeignet zu sein als 
die Gen-Untersuchung biologischer Pro- 
ben oder der klassische Fingerabdruck. 
Der Grund dafür dürfte die Veränderlich- 
keit des Mikrobioms sein, also die Ge- 
samtheit aller mikrobiellen Mitbewoh- 
ner des Menschen, von Tieren oder auch 
Pflanzen. Abhängig davon, was man isst, 
wem man die Hand geschüttelt hat oder 
wohin man verreist, verändert sich die 
Zusammensetzung der mikroskopischen 
Untermieter fortwährend. Die Untersu- 
chung Huttenhowers hat gezeigt, dass 
die Lebensgemeinschaft im Darm am 
stabilsten ist. Selbst nach einer Behand- 
lung mit für Bakterien tödlichen Antibio- 
tika stellt sich bei den meisten Menschen 
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nach wenigen Wochen wieder größten- 
teils die Bevölkerung ein, die schon vor 
der Behandlung im Verdauungstrakt ge- 
siedelt hat. Erst mehrere Antibiotikaku- 
ren bringen das Mikrobiom mitunter so 
durcheinander, dass es sich nicht mehr 
richtig erholt. Auch die Ernährung hat ei- 
nen starken Einfluss auf das Mikrobiom. 
Bei Vegetariern dominieren andere Bak- 
terienarten als bei Fleischessern. Nach 
ein paar Tagen Fleischverzicht gleicht 
ihre Bakterienmischung allerdings der 
von Vegetariern. 

Auch jede andere Interaktion mit der 
Umwelt hinterlässt Spuren im Mikrobi- 
om. Der Heidelberger Biochemiker Peer 
Bork konnte zeigen, dass sich anhand des 
Mikrobioms bestimmen lässt, woher ein 
Mensch stammt. Sogar kurze Aufent- 
halte in einer anderen Stadt hinterlassen 
Spuren in der Bakterienbevölkerung; al- 
lerdings verschwinden sie in der Regel 
auch rasch wieder. Das macht mikrobiel- 
le Spuren interessant für ein neues For- 
schungsgebiet, die bakterielle Forensik. 
Dazu berichtet eine weitere Forschungs- 
gruppe im Fachblatt „Microbiome“, dass 
man anhand der Bakterien auf der Ober- 
fläche eines Mobiltelefons bestimmen 
kann, an welchem Ort sich der Besitzer 
zuletzt aufgehalten hat. Die Gruppe um 
den Genetiker Simon Lax von der Uni- 
versity of Chicago hatte auf drei Fach- 
kongressen Kollegen darum gebeten, 
Abstriche von deren Handys nehmen zu 
dürfen. Zurück im Labor konnten Lax 
und Kollegen recht zuverlässig nachwei- 
sen, von welchem Veranstaltungsort die 
jeweilige Probe stammte. Lax ließ außer- 
dem zwei Probanden jede Stunde einen 
Abstrich von ihrer Schuhsohle und dem 
Boden nehmen, auf dem sie gerade zufäl- 
lig standen. Die Analyse zeigte, dass sich 
die Bakterienzusammensetzung unter 
der Sohle zwar sehr schnell von Ort zu 
Ort verändert, trotzdem ließen sich vor- 
herige Aufenthaltsorte grob bestimmen 
(Meine Mikroben, deine Mikroben, SZ 
12.05.2015, 14). 


Churchix erfasst Ange- 
sicht von Kichergängern 


Das israelisch-amerikanische Un- 
ternehmen Face-Six hat eine Software 
zur Gesichtserkennung namens „Chur- 
chix‘“ entwickelt, die in Kirchen ein- 
gesetzt wird, um zu registrieren, wer 
am Gottesdienst teilnimmt und wer 
schwänzt. Gemäß Firmenchef Moshe 
Greenshpan verwenden bisher 42 Kir- 
chen weltweit die Software und zwar in 
den USA, Portugal, Afrika, Indonesien 
und Indien: „Die Reaktionen sind über- 
wältigend. Die Kirchen, mit denen wir 
gesprochen haben, sagen, für sie sei ein 
Traum wahr geworden.“ Die Gemein- 
den laden Churchix auf einen gewöhn- 
lichen Rechner. In der Datenbank hin- 
terlegen sie hochauflösende Bilder der 
Gemeindemitglieder. Entweder in der 
Kirche oder an einer Kontrollstation 
am Eingang werden Kameras instal- 
liert und mit dem System verbunden. 
Churchix nimmt in Sekundenschnelle 
ein Abgleich der aufgenommenen mit 
den hinterlegten Bildern vor. Die Tref- 
ferquote liegt, so Greenshpan, bei 99%. 

Zweck des Verfahrens ist die Erfas- 
sung der Zahl der Kirchenbesuchen- 
den. Die Geistlichen sollen detaillierte 
Statistiken und Profile über den Kirch- 
gang ihrer Gottesdienstbesuchenden 
einschließlich Alter und Geschlecht 
erstellen können. Eine Sprecherin der 
Evangelischen Kirche in Deutschland 
(EKD) sagte: „Der Einsatz einer sol- 
chen Software zur Überwachung der 
Gottesdienstbesucher ist rechtlich bei 
uns undenkbar.“ Eine Videoüberwa- 
chung — und Churchix gehe ja noch 
weiter als das — sei nur in engen Gren- 
zen möglich, die im Datenschutzgesetz 
der EKD festgehalten sind. Die stellv. 
Sprecherin der Deutschen Bischofs- 
konferenz Daniela Elpers ergänzte: 
„Eine derartige Videoüberwachung in 
katholischen Kirchen in Deutschland 
ist derzeit nicht denkbar und entspricht 
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nicht unserer "Kirchenkultur‘, die sich 
von der amerikanischen in vielen As- 
pekten unterscheidet“. Face-Six arbei- 
tet ansonsten mit Sicherheitsdiensten 
zusammen. Zu den Kunden gehören z. 
B. Casinos, Flughäfen und Einkaufs- 
zentren. Die spezielle Entwicklung von 
Churchix geht auf Anfragen von Kir- 
chen zurück (epd, Gesichtserkennung 
auf der Kirchenbank, Schleswig-Hol- 
stein am Sonntag, 23.08.2015, Online 
S. 19). 


Werbeblocker immer 
weiter verbreitet 


Immer mehr Internetnutzende ver- 
wenden sogenannte Werbeblocker. Die 
Zahl der Nutzenden solcher Angebote 
stieg innerhalb eines Jahres zum zweiten 
Quartal 2015 um 41% auf 198 Millionen 
Nutzer pro Monat. Ein installierter Wer- 
beblocker oder Werbefilter entfernt au- 
tomatisch Werbung von Websites. Der 
Nutzende bekommt dann entsprechende 
Texte, Bilder oder Filme nicht mehr zu 
sehen. Laut der von den Softwareunter- 
nehmen Adobe und Page-Fair erstellten 
und am 10.08.2015 veröffentlichten 
Untersuchung „The Cost of Ad Blo- 
cking“ nutzen in Deutschland bereits 18 
Millionen Menschen im Internet einen 
Werbeblocker. Deutschland verzeich- 
nete einen Anstieg von 17%, die USA 
sogar um 49% und Großbritannien um 
82%. Den Anbieter von Inhalten kostet 
das der Studie zufolge viel Geld. Allein 
in diesem Jahr gehen dadurch weltweit 
21,8 Milliarden Dollar an Werbeein- 
nahmen verloren. Für 2016 wird sogar 
mit Verlusten in Höhe von 41,4 Milli- 
arden Dollar gerechnet. Das Problem 
verschärft sich, weil immer mehr Men- 
schen Werbeblocker auch auf mobilen 
Endgeräten benutzen könnten. Bisher 
liegt deren Anteil nur bei 1,6% (Wer- 
beblocker werden immer beliebter, SZ 
11.08.2015, 19). 


# 
IPEREREFZEID 


f n 


DANA » Datenschutz Nachrichten 4/2015 


7890908072D 
4 


189 


aT-Teisigjelg-ieialäigte 


EuGH 


Nationales Datenschutz 
gilt bei effektiver Nieder- 
lassung 


Der Europäische Gerichtshof (EuGH) 
entschied mit Urteil vom 01.10.2015, 
dass das Datenschutzrecht eines Mit- 
gliedstaates auf eine ausländische Ge- 
sellschaft angewendet werden kann, 
wenn diese in diesem Staat mittels einer 
festen Einrichtung eine tatsächliche und 
effektive Tätigkeit ausübt (C-230/14). 
Dem Urteil liegt folgender Sachverhalt 
zu Grunde: 

Weltimmo, eine in der Slowakei ein- 
getragene Gesellschaft, betreibt eine 
Website zur Vermittlung von in Ungarn 
gelegenen Immobilien. In diesem Rah- 
men verarbeitet sie personenbezogene 
Daten der InserentInnen. Die Inserate 
sind einen Monat lang kostenlos, da- 
nach muss dafür bezahlt werden. Zahl- 
reiche InserentInnen verlangten per 
E-Mail die Löschung ihrer Inserate am 
Ende des ersten Monats und gleichzei- 
tig die Löschung der sie betreffenden 
personenbezogenen Daten. Weltimmo 
kam dem aber nicht nach und stellte den 
Betreffenden eine Rechnung aus. Da die 
in Rechnung gestellten Beträge nicht 
bezahlt wurden, übermittelte Weltimmo 
die personenbezogenen Daten der Inse- 
rentInnen an verschiedene Inkassoun- 
ternehmen. Dies führte zu Beschwerden 
bei der ungarischen Datenschutzbehör- 
de. Diese verhängte gegen Weltimmo 
ein Bußgeld von 10 Mio. ungarischen 
Forint (HUF) (etwa 32.000 €) wegen 
Verletzung des ungarischen Gesetzes, 
mit dem die Europäische Datenschutz- 
richtlinie (EG-DSRI) umgesetzt wird. 
Auf die Anfechtung von Weltimmo ge- 
gen diese Entscheidung vor ungarischen 
Gerichten, machte im Kassationsverfah- 
ren der oberste Gerichtshof Ungarns, die 
Küria, eine Vorlage beim EuGH. 

War der ungarischen Kontrollstelle 
erlaubt, ungarisches Datenschutzrecht 
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anzuwenden und das dort vorgesehe- 
ne Bußgeld zu verhängen? Gemäß der 
EG-DSRI sind die nationalen Daten- 
schutzkontrollstellen dafür zuständig, 
im Hoheitsgebiet ihres Mitgliedstaats 
insbesondere Untersuchungs- und Ein- 
wirkungsbefugnisse auszuüben, unab- 
hängig von der Frage, welches einzel- 
staatliche Recht materiellrechtlich auf 
die jeweilige Verarbeitung anwendbar 
ist. Zudem kann jede Kontrollstelle 
von einer Kontrollstelle eines anderen 
Mitgliedstaats um die Ausübung ihrer 
Befugnisse ersucht werden. Mit dem 
vorliegenden Urteil weist der EuGH 
darauf hin, dass nach der EG-DSRl je- 
der Mitgliedstaat die Vorschriften an- 
wenden muss, die er zur Umsetzung 
dieser Richtlinie erlassen hat, sofern die 
Datenverarbeitung im Rahmen der in 
seinem Hoheitsgebiet durch geführten 
Tätigkeiten einer Niederlassung ausge- 
führt wird, die der für die Verarbeitung 
Verantwortliche besitzt. Das Vorhanden- 
sein eines einzigen Vertreters kann unter 
bestimmten Umständen ausreichen, um 
eine Niederlassung zu begründen, wenn 
dieser mit einem ausreichenden Grad 
an Beständigkeit für die Erbringung der 
betreffenden Dienstleistungen im fragli- 
chen Mitgliedstaat tätig ist. Der EuGH 
stellte klar, dass der Begriff der Nieder- 
lassung jede tatsächliche und effektive 
Tätigkeit, die mittels einer festen Ein- 
richtung ausgeübt wird, umfasst, selbst 
wenn sie nur geringfügig ist. 

Konkret bestätigte der EuGH, dass 
Weltimmo unstreitig eine tatsächliche 
und effektive Tätigkeit in Ungarn aus- 
übt. Den Erläuterungen der ungarischen 
Kontrollstelle zufolge verfügt Weltim- 
mo über einen Vertreter in Ungarn, der 
im slowakischen Handelsregister unter 
einer Adresse in Ungarn aufgeführt ist 
und versucht hat, mit den Inserenten 
über die Begleichung der unbezahl- 
ten Forderungen zu verhandeln. Die- 
ser Vertreter hat den Kontakt zwischen 
dieser Gesellschaft und den Inseren- 
ten hergestellt und die Gesellschaft im 
Verwaltungsverfahren und vor Gericht 


vertreten. Weltimmo hat außerdem in 
Ungarn ein Bankkonto zur Einziehung 
ihrer Forderungen eröffnet und nutzt 
dort zur Abwicklung ihrer laufenden 
Geschäfte ein Postfach. Diese vom vor- 
legenden Gericht zu prüfenden Umstän- 
de weisen nach, dass in Ungarn eine 
„Niederlassung“ im Sinne der Richtli- 
nie besteht mit der Folge, dass die Tä- 
tigkeit von Weltimmo dem ungarischen 
Datenschutzrecht unterliegt. Der EUGH 
weist darauf hin, dass jede von einem 
Mitgliedstaat eingeführte Kontrollstelle 
dafür Sorge zu tragen hat, dass die von 
allen Mitgliedstaaten zur Umsetzung 
der EG-DSRI erlassenen Vorschriften 
im Hoheitsgebiet dieses Mitgliedstaats 
eingehalten werden. Daher kann sich 
jede Person zum Schutz der die Person 
betreffenden Rechte und Freiheiten bei 
der Verarbeitung personenbezogener 
Daten an jede Kontrollstelle mit einer 
Eingabe wenden, selbst wenn das auf 
diese Verarbeitung anwendbare Recht 
das eines anderen Mitgliedstaats ist. Im 
Falle der Anwendung des Rechts eines 
anderen Mitgliedstaats sind jedoch die 
Untersuchungsbefugnisse der Kontroll- 
stelle unter Einhaltung insbesondere der 
territorialen Souveränität der anderen 
Mitgliedstaaten auszuüben, so dass eine 
nationale Kontrollstelle keine Sanktio- 
nen außerhalb des Hoheitsgebiets ihres 
Mitgliedstaats verhängen darf. Würde 
gerichtlich festgestellt, dass Weltimmo 
in Ungarn nicht über eine „Niederlas- 
sung“ im Sinne der EG-DSRI verfügt 
und deshalb das Recht eines anderen 
Mitgliedstaats gilt, dürfe die ungari- 
sche Kontrollstelle folglich nicht die 
Sanktionsbefugnisse ausüben, die ihr 
durch das ungarische Recht übertragen 
worden sind. Gemäß der in der EG- 
DSRI vorgesehenen Verpflichtung zur 
Zusammenarbeit obläge es dann dieser 
Kontrollstelle, die Kontrollstelle des 
betreffenden anderen Mitgliedstaats zu 
ersuchen, einen etwaigen Verstoß gegen 
das Recht dieses Staates festzustellen 
und die allenfalls in diesem Recht vor- 
gesehenen Sanktionen zu verhängen 
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(EuGH, PM 01.10.2015, Urteil in der 
Rechtssache C-230/14 Weltimmo s. r. 0. 
/ Nemzeti Adatvedelmi &s Informäciös- 
zabadsäag Hatösäg;). 


BVerfG 


Identitätsfeststellung bei 
Versammlung nur bei 
konkreter Gefahr 


Das Bundesverfassungsgericht 
(BVerfG) hat mit Beschluss vom 
24.07.2015 festgestellt, dass die Polizei 
bei DemonstrationsteilnehmerInnen nur 
dann eine Identitätsfeststellung vorneh- 
men darf, wenn eine „konkrete Gefahr“ 
für die öffentliche Sicherheit besteht 
(1 BvR 24.07.2015). Filmt die Polizei 
eine Versammlung, so darf sie nicht 
ohne weiteres die Identität von Teilneh- 
merlInnen feststellen, die ihrerseits die 
PolizistInnen filmen. Sonst bestehe die 
Gefahr, dass DemonstrantInnen „aus 
Furcht vor polizeilichen Maßnahmen“ 
auch zulässige Film- und Fotoaufnah- 
men und damit „Kritik an staatlichem 
Handeln“ unterlassen. 

Der Beschwerdeführer war im Janu- 
ar 2011 auf einer angemeldeten Ver- 
sammlung, bei der die Polizei Ton- und 
Bildaufnahmen anfertigte, von der Po- 
lizei aufgeforderte worden, sich auszu- 
weisen. Dessen Begleiterin erweckte 
den Eindruck, sie filme ihrerseits die 
eingesetzten PolizeibeamtInnen. Der 
Beschwerdeführer war den Aufforde- 
rung auf Aushändigung des Personal- 
ausweises nachgekommen und hatte 
gegen die Maßnahme erfolglos vor dem 
Verwaltungsgericht und dem Oberver- 
waltungsgericht geklagt. Das BVerfG 
stellte fest, dass bei der Anwendung des 
einfachen Rechts, hier $ 13 Abs. I Nr. I 
des Niedersächsischen Gesetzes über 
die öffentliche Sicherheit und Ordnung 
(NSOG), das Recht auf informationelle 
Selbstbestimmung berücksichtigt wer- 
den muss. Präventivpolizeiliches Ein- 
schreiten wegen Lichtbildern und Vi- 
deoaufnahmen erforderten eine konkre- 
te Gefahr für ein polizeiliches Schutz- 
gut, was nur im Einzelfall festgestellt 
werden könne. In verfassungskonfor- 
mer Auslegung der $$ 22, 23 des Kunst- 
urhebergesetzes (KUG) müsse davon 
ausgegangen werden, dass unzulässige 
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Lichtbilder nicht auch stets verbreitet 
werden. Meinen Sicherheitsbehörden, 
dass eine Verbreitung von Bildern un- 
zulässig erfolgt, so bedarf es hierfür 
hinreichend tragfähiger Anhaltspunkte. 
Die bloße Möglichkeit einer strafbaren 
Verletzung des Rechts am eigenen Bild 
genüge nicht. Im konkreten Fall hätte 
der Anlass für die Bilderstellung darin 
liegen können, dass diese eine Reakti- 
on auf die polizeilicherseits gefertigten 
Bild- und Tonaufnahmen waren, etwa 
zur Beweissicherung mit Blick auf etwa- 
ige Rechtsstreitigkeiten. Es könne nicht 
unterstellt werden, dass die Aufnah- 
men unter Verletzung von $ 33 Abs. 1 
KUG im Internet veröffentlicht wer- 
den (BVerfG, PE v. 08.10.2015, Iden- 
titätsfeststellung im Rahmen einer Ver- 
sammlung erfordert konkrete Gefahr 
für polizeiliches Schutzgut). 


BVerfG 


Vorläufig keine Löschung 
von Zensus 2011-Daten 


In einem Normenkontrollverfahren 
auf Antrag des Berliner Senats hat der 
Zweite Senat des Bundesverfassungs- 
gerichts (BVerfG) mit Beschluss vom 
26.08.2015 die Löschung der im Rah- 
men des Zensus 2011 erhobenen Daten 
per einstweilige Anordnung vorläufig 
gestoppt (Az. 2 BvF 1/15). $ 19 des Zen- 
susgesetzes 2011 wird bis zur Entschei- 
dung in der Hauptsache, längstens für 
sechs Monate außer Vollzug gesetzt. Das 
BVerfG nahm eine Folgenabwägung 
vor: Die längere Datenspeicherung ver- 
tieft zwar — geringfügig — den Eingriff in 
das Recht der betroffenen Bürgerinnen 
und Bürger auf informationelle Selbst- 
bestimmung. Demgegenüber wiegen die 
Vorteile, die die einstweilige Anordnung 
für die Rechtsschutzmöglichkeiten der 
Gemeinden mit sich bringt, schwerer. 
Die Löschung der Daten könnte den 
Gemeinden die Möglichkeit nehmen, 
eine etwaige fehlerhafte Berechnung 
ihrer Einwohnerzahl gerichtlich effektiv 
überprüfen und gegebenenfalls korrigie- 
ren zu lassen. 

Der Berliner Senat begehrt in einem 
Verfahren der abstrakten Normenkont- 
rolle, $ 7 Abs. I und Abs. 2 und $ 19 
des Zensusgesetzes 2011 sowie $ 2 


Abs. 2 und Abs. 3 der Stichprobenver- 
ordnung und $ 19 des Zensusgesetzes 
2011 für nichtig zu erklären. Nach dem 
Zensusgesetz 2011 führten die statisti- 
schen Ämter des Bundes und der Län- 
der eine Bevölkerungs-, Gebäude- und 
Wohnungszählung zum 09.05.2011 
durch, um die Einwohnerzahlen von 
Bund, Ländern und Gemeinden ver- 
bindlich festzustellen. Das Amt für Sta- 
tistik Berlin-Brandenburg stellte für das 
Land Berlin eine Einwohnerzahl von 
3.292.365 Personen fest; dies sind ca. 
180.000 Personen weniger als nach den 
fortgeschriebenen Zahlen auf Grundla- 
ge der Volkszählungen von 1981 (Ost) 
und 1987 (West). Insgesamt haben 
mehr als 1.000 Gemeinden ebenso wie 
Berlin gegen die ihre Einwohnerzahlen 
feststellenden Bescheide Rechtsbehelfe 
eingelegt. 

In dem einstweiligen Verfahren wog 
— nach einem strengen, restriktiven 
Maßstab — das BVerfG die Nachteile 
ab, die einträten, wenn keine Anord- 
nung erginge, der Antrag aber in der 
Hauptsache Erfolg hätte, gegenüber den 
Nachteilen, die entstünden, wenn die 
begehrte einstweilige Anordnung erlas- 
sen würde, dem Antrag in der Hauptsa- 
che aber der Erfolg zu versagen wäre. 
Es stellte fest, dass der Ausgang des 
Normenkontrollverfahrens offen ist. 
Zur Abwehr möglicher schwerer Nach- 
teile für die betroffenen Gemeinden sei 
der Erlass der einstweiligen Anordnung 
dringend geboten. Erginge die einst- 
weilige Anordnung nicht, erwiese sich 
$ 19 des Zensusgesetzes 2011 aber spä- 
ter als verfassungswidrig, so wären die 
im Rahmen des Zensus 2011 erhobenen 
Daten, sofern nicht schon geschehen, 
grundsätzlich unverzüglich zu löschen. 
Die im Gesetz vorgesehene Frist für 
die maximale Aufbewahrung dieses 
Datenmaterials ist am 09.05.2015 ab- 
gelaufen. Soweit die Löschung auch 
Datenmaterial zu Gemeinden betrifft, 
deren Rechtsschutzverfahren noch 
nicht rechtskräftig abgeschlossen sind, 
wäre eine Überprüfung der Rechtmä- 
Bigkeit der festgestellten Einwohner- 
zahl erheblich erschwert, wenn nicht 
gar unmöglich. Methodik und Qualität 
der Durchführung der Zensuserhebung 
könnten einer rechtlichen Würdigung 
jedenfalls nicht mehr anhand der um- 
strittenen Daten und Unterlagen - ge- 
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gebenenfalls unter Hinzuziehung von 
Sachverständigen - unterzogen werden. 

Erginge die einstweilige Anordnung 
und erwiese sich $ 19 des Zensusge- 
setzes 2011 im Hauptsacheverfahren 
als verfassungsgemäß, so könnte den 
klagenden Gemeinden in den noch 
laufenden Rechtsschutzverfahren eine 
gerichtliche Überprüfung der festge- 
stellten Einwohnerzahlen ermöglicht 
werden. Dies wäre zwar mit einem Ein- 
griff in das Recht auf informationel- 
le Selbstbestimmung der betroffenen 
Bürgerinnen und Bürger verbunden, 
der nachträglich nicht mehr rückgän- 
gig gemacht werden könnte. Würde im 
Hauptsacheverfahren letztlich die Ver- 
fassungsgemäßheit des $ 19 Zensusge- 
setz 2011 festgestellt, so wiege der da- 
vor erfolgte Grundrechtseingriff nicht 
besonders schwer, da die Speicherung 
der erhobenen Daten lediglich für einen 
begrenzten Zeitraum fortdauern würde. 

Die von den Statistikämtern fest- 
gestellten Einwohnerzahlen des Zen- 
sus 2011 sind für den Zeitraum bis 
zur nächsten Erhebung im Jahre 2021 
Grundlage der jeweiligen Zuweisungen 
der Länder und des Länderfinanzaus- 
gleichs nach Art. 107 GG. Sollten die 
Zahlen tatsächlich unzutreffend sein, 
könnten darauf beruhende Zahlungen 
zwar grundsätzlich rückabgewickelt 
werden. Diese Möglichkeit wäre jedoch 
ausgeschlossen, wenn die Unrichtigkeit 
der Zahlen nicht mehr festgestellt wer- 
den könnte, weil das zugrunde liegende 
Datenmaterial vor einer gerichtlichen 
Sachverhaltsfeststellung gelöscht und 
entsprechende Unterlagen vernichtet 
worden wären. Allein für das antrag- 
stellende Land Berlin bedeutet die Kor- 
rektur seiner Einwohnerzahl um ca. 
180.000 nach unten nach seinen Anga- 
ben eine Verringerung von Zuteilungen 
aus dem Länderfinanzausgleich um ca. 
470 Millionen Euro pro Jahr, das heißt 
4,7 Milliarden Euro für den Zeitraum 
2011 bis 2021. Auch für andere große 
Städte führt der Zensus zu großen Etat- 
lücken, etwa Aachen 10 Mio. Verlust, 
Bonn 12 Mio. oder Stuttgart 13 Mio. 
Euro. Darüber hinaus knüpfen z. B. die 
Rechtsvorschriften über die Einteilung 
der Bundestagswahlkreise oder die An- 
zahl der Stimmen im Bundesrat an die 
Einwohnerzahlen an (BVerfG PE Nr. 
63/2015 v. 01.09.2015). 
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BVerwG 


Keine Anspruch der Pres- 
se auf Selektorenliste 


Das Bundesverwaltungsgericht 
(BVerwG) hat mit Beschluss vom 
20.07.2015 entschieden, dass die Pres- 
se keinen Anspruch darauf haben, dass 
der Bundesnachrichtendienst (BND) ihr 
Auskunft zum Inhalt der Selektorenliste 
der National Security Agency (NSA) der 
USA erteilt (Az. 6 VR 1.15). 

Der Redaktionsleiter einer Zeitung, 
der Antragstellerin, bat den BND um 
Auskunft darüber, welche Unterneh- 
men mit Sitz in Deutschland und wel- 
che deutschen Staatsangehörigen auf 
der Selektorenliste der NSA gestanden 
hätten, die dem BND überreicht wor- 
den sei, welche Unternehmen mit Sitz 
in Deutschland und welche deutschen 
Staatsangehörigen der Bundesnach- 
richtendienst von der ihm überreich- 
ten Selektorenliste der NSA gestrichen 
habe, welche Unternehmen mit Sitz 
in Deutschland und welche deutschen 
Staatsangehörigen der Bundesnach- 
richtendienst auf der ihm überreichten 
Selektorenliste der NSA belassen und 
abgehört habe. Der BND lehnte die Be- 
antwortung dieser Fragen ab. Er äußere 
sich zu operativen Aspekten seiner Ar- 
beit nur gegenüber der Bundesregierung 
und den geheim tagenden Gremien des 
Deutschen Bundestages. Die Antragstel- 
lerin beantragte daraufhin beim BVer- 
wG, die Antragsgegnerin durch einst- 
weilige Anordnung zu verpflichten, die 
erbetene Auskunft zu erteilen. 

Dies wurde vom BVerwG abgelehnt. 
Das Grundrecht der Pressefreiheit be- 
gründe keinen Anspruch auf die begehr- 
te Auskunft. Dieses Grundrecht verleiht 
der Presse zwar einen verfassungsun- 
mittelbaren Anspruch auf Auskunft ge- 
genüber Bundesbehörden, soweit auf 
sie die Landespressegesetze wegen ei- 
ner entgegenstehenden Gesetzgebungs- 
kompetenz des Bundes nicht anwendbar 
sind, wie dies u. a. für den BND zutrifft. 
Der begehrten Auskunft stünden aber 
berechtigte schutzwürdige Interessen 
des BND an der Vertraulichkeit der strei- 
tigen Selektorenliste entgegen. Für ope- 
rative Vorgänge im Bereich des BND, 
nämlich die Beschaffung und Auswer- 
tung von Informationen von außen- 


und sicherheitspolitischer Bedeutung, 
seien Auskünfte an die Presse generell 
ausgeschlossen, ohne dass es insoweit 
einer einzelfallbezogenen Abwägung 
mit gegenläufigen Informationsinteres- 
sen der Presse bedürfte. Der BND habe 
die ihm gesetzlich zugewiesene Aufga- 
be, zur Gewinnung von Erkenntnissen 
über das Ausland, die von außen- und 
sicherheitspolitischer Bedeutung für 
die Bundesrepublik Deutschland sind, 
die erforderlichen Informationen zu 
sammeln und auszuwerten. Derartige 
Informationen dürfe der BND nach der 
für ihn geltenden gesetzlichen Grund- 
lage heimlich unter anderem mit nach- 
richtendienstlichen Mitteln beschaffen 
und müsse dies in vielen Fällen tun. Um 
die ihm gesetzlich zugewiesenen Auf- 
gaben erfüllen zu können, sei der BND 
mithin darauf angewiesen, verdeckt zu 
arbeiten. Müssten Auskünfte über sol- 
che Vorgänge erteilt werden, würde die 
Gewinnung von weiteren Informationen 
erschwert, wenn nicht verhindert, und 
wäre damit die Erfüllung der Aufgaben 
des BND gefährdet. Zu den operativen 
Vorgängen im Bereich des BND ge- 
hörten das Ob sowie Art und Umfang 
der Zusammenarbeit mit ausländischen 
Nachrichtendiensten. Um außen- und 
sicherheitspolitisch relevante Erkennt- 
nisse zu gewinnen, sei der BND in 
vielen Fällen auf die Zusammenarbeit 
mit ausländischen Nachrichtendiens- 
ten angewiesen, indem in gemeinsa- 
mem Zusammenwirken Informationen 
von beiderseitigem Interesse beschafft 
werden oder anderweitig gewonne- 
ne Erkenntnisse ausgetauscht werden. 
Dabei erfährt der BND beispielsweise, 
welches Erkenntnisinteresse der aus- 
ländische Nachrichtendienst verfolgt. 
Die Zusammenarbeit setze voraus, dass 
die beteiligten Nachrichtendienste sich 
wechselseitig darauf verlassen können, 
dass von ihnen für geheimhaltungsbe- 
dürftig angesehene Informationen auch 
von der anderen Seite geheim gehalten 
werden. Die künftige Erfüllung der Auf- 
gaben des BND könne mithin dadurch 
beeinträchtigt werden, dass im Falle ei- 
ner Offenlegung von Informationen die 
Zusammenarbeit mit Nachrichtendiens- 
ten anderer Staaten und damit die künf- 
tige eigene Gewinnung von außen- und 
sicherheitspolitischen Erkenntnissen er- 
schwert würde. Dazu käme es, wenn die 
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Antragsgegnerin Informationen unter 
Missachtung einer zugesagten oder vor- 
ausgesetzten Vertraulichkeit gleichwohl 
an Dritte bekannt gibt (http://www.bver- 
wg.de/entscheidungen/entscheidung. 
php?ent=200715B6VR1.15.0). 


VG Stuttgart 


Verdachtsunabhängige 
Grenzkontrollen 
unzulässig 


Die Bundespolizei darf gemäß ei- 
nem Urteil des Verwaltungsgerichts 
(VG) Stuttgart im Grenzgebiet nicht 
verdachtsunabhängig Personen kontrol- 
lieren, um illegal Einreisende aufzuspü- 
ren (Az. 1 K 5060/13). Die Regelung in 
$ 23 Bundespolizeigesetz (BPoIG), die 
ihr im 30 km-Grenzgebiet jederzeit an- 
lasslose Identitätsfeststellungen erlaubt, 
ist danach europarechtswidrig und des- 
halb nicht anwendbar. Geklagt hatte ein 
dunkelhäutiger Mann, der 2013 in einem 
ICE im deutschen Grenzgebiet zu Frank- 
reich ohne Anlass kontrolliert wurde 
und sich in seinem Recht auf informati- 
onelle Selbstbestimmung verletzt fühlte. 
Das Gericht ließ offen, ob die Kontrolle 
verhältnismäßig war und ob generell ge- 
zielte Kontrollen „ausländisch“ ausse- 
hender Menschen diskriminierend sind 
(„racial profiling“). Das VG hielt schon 
die Ermächtigungsnorm $ 23 Abs. I Nr. 3 
BPoIG für rechtswidrig, weil sie gegen 
den Schengener Grenzkodex versto- 
Be. Diese im Jahre 2006 erlassene EU- 
Verordnung (Nr. 562/2006) verfolgt das 
Ziel, die Politiken zur Kontrolle der Au- 
Ben- und Binnengrenzen innerhalb des 
Schengen-Raumes zu regeln. 

Das VG Stuttgart vertrat die Ansicht, 
dass der Schengener Grenzkodex ver- 
dachtsunabhängige Personenkontrol- 
len im Grenzgebiet zu anderen Schen- 
gen-Staaten verbietet, soweit solche 
Maßnahmen die gleiche Wirkung wie 
Grenzkontrollen haben. Anlasslose Per- 
sonenkontrollen könnten nur zulässig 
sein, wenn diese tatsächlich nicht die 
Kontrolle der Grenze bezwecken und 
sich äußerlich auch eindeutig von sys- 
tematischen Personenkontrollen an den 
Außengrenzen unterscheiden, d. h. ins- 
besondere nur stichprobenartig durch- 
geführt werden. Kein Problem hatte das 
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Gericht mit Kontrollen, die aufgrund 
konkreter Informationen oder Erfahrun- 
gen in Bezug auf mögliche Bedrohungen 
der öffentlichen Sicherheit angeordnet 
werden, insbesondere zur Bekämpfung 
der grenzüberschreitenden Kriminalität. 

Das Gericht stützte sich auf eine Ent- 
scheidung des EuGH, der mit Urteil vom 
22.06.2010 in einem französischen Fall 
diese Linie vorgegeben hatte (C-188/10 
u. C-189/10, Melki und Abdeli): Die 
Ermächtigungsnorm lenke das Handeln 
der Behörden nicht ausreichend. Um zu 
verhindern, dass Personenkontrollen die 
gleiche Wirkung wie Grenzkontrollen 
entwickeln, verlangte der EuGH, dass 
den nationalen Polizeigesetzen verbind- 
liche Anhaltspunkte über die Häufigkeit 
und Intensität der Kontrollen zu ent- 
nehmen sind, was in $23 Abs. I Nr. 3 
BPoIG nicht der Fall ist. Aus diesem 
Grund läuft momentan ein Vertrags- 
verletzungsverfahren der Europäischen 
Kommission gegen die Bundesrepublik 
Deutschland (vgl. BT-Drs. 18/4149), 
dessen Ergebnis aussteht. 

Der kurz vor der Entscheidung des 
VG gefällte Entschluss der Bundesre- 
gierung, die Kontrollen an den deut- 
schen Binnengrenzen des Schengen- 
Raums vorübergehend wieder einzufüh- 
ren, wird durch das Urteil nicht berührt. 
In diesem Ausnahmefall ist es der deut- 
schen Bundespolizei auf Grundlage des 
$ 23 Abs. 1 Nr. 3 BPoIG gestattet, auch 
im 30 km-Grenzbereich Personenkon- 
trollen durchzuführen, die faktisch wie 
Grenzkontrollen wirken (Müller, VG 
Stuttgart: Europarecht bremst Grenz- 
schützer, _http://www.verfassungsblog. 
de 24.10.2015; Unzulässige Kontrollen, 
SZ 24./25.10.2015, 8). 


OLG Celle 


BILD-Zeitung von Isla- 
misten-Prozess ausge- 
schlossen 


Die BILD-Zeitung wurde vom Ober- 
landesgericht (OLG) Celle im dortigen 
Prozess gegen zwei nach Deutschland 
vom „Islamischen Staat“ zurückge- 
kehrte Jugendliche ausgeschlossen. Am 
03.08.2015 erhielten die Vertreter der 
Zeitung die Mitteilung: “Nachdem Sie 
gegen die mit der Akkreditierung ver- 


bundene Absprache, Fotos der Ange- 
klagten nur verpixelt zu veröffentlichen, 
verstoßen haben, hat der Vorsitzende in 
Ausübung des ihm übertragenen Haus- 
rechts entschieden, dass die Akkredi- 
tierung für Ihr Medium verloren geht.” 
Grund: Die Zeitung hatte den angeklag- 
ten mutmaßlichen IS-Terroristen Ebra- 
him H. gezeigt. Auf die Beschwerde der 
Zeitung hin bestätigte das Gericht am 
06.08.2015 seine Entscheidung. Diese 
sorgte in der Medienwelt wie auch beim 
Deutschen Journalisten Verband (DJV) 
für Irritation, weil Ebrahim H. sich vor- 
her ausführlich in einem NDR-Interview 
geäußert und dabei offen gezeigt und 
zudem der Süddeutschen Zeitung ein In- 
terview gegeben hatte. Ein Verlags-Syn- 
dikus kündigte an, man wolle die Sache 
nun dem BGH vorlegen (Niederlage für 
die „Bild“, SZ 07.08.2015, 25; „BILD“ 
vom „IS-Prozess“ am OLG ausgeschlos- 
sen, celleheute.de 03.08.2015). 


LG Osnabrück 


Bewährungsstrafe für Pa- 
tientinnen filmenden Arzt 


Ein 62-jähriger Hausarzt wurde am 
16.09.2015 vom Landgericht (LG) Os- 
nabrück zu zwei Jahren Haft, ausgesetzt 
zur Bewährung, verurteilt, weil dieser 
bei Untersuchungen mit einer Kugel- 
schreiberkamera heimlich intime Auf- 
nahmen von Patientinnen gemacht und 
sie teilweise sexuell missbraucht hatte. 
Darüber hinaus hatte er kinder- und ju- 
gendpornografische Bilder und Fotos 
besessen. Neben der Bewährungsstrafe 
verhängte das Gericht zudem ein drei- 
Jähriges Berufsverbot und eine Geldauf- 
lage von 75.000 Euro. Das Geld muss 
er laut Richterspruch an gemeinnützige 
Organisationen zahlen. 

Der Vorsitzende Richter Dieter Tem- 
ming erklärte, dass der Angeklagte trotz 
des zeitlich begrenzten Berufsverbots 
nie wieder als Arzt arbeiten werde, da 
dieser zugesagt habe, seine Approbation 
zurückzugeben. Deshalb bestehe auch 
keine Wiederholungsgefahr: „Der An- 
geklagte steht vor den Trümmern seiner 
privaten und beruflichen Existenz.“ Dies 
sei ein Grund für eine Bewährungsstrafe 
gewesen. Zudem habe das Geständnis 
des Angeklagten für ihn gesprochen und 
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die Tatsache, dass er seinen Opfern be- 
reits ein hohes Schmerzensgeld gezahlt 
habe. Auch Verteidiger und Staatsan- 
waltschaft hatten sich in ihren Plädo- 
yers für eine zur Bewährung ausgesetzte 
Haftstrafe ausgesprochen. 

Das Gericht verurteilte den Mediziner 
für 70 Fälle, in denen er seine Patientin- 
nen gefilmt hatte. In zwölf Fällen habe er 
die Frauen zudem sexuell motiviert etwa 
an den Brüsten berührt, ohne dass dies 
für eine Untersuchung notwendig gewe- 
sen sei. Die Opfer seien in diesen Fällen 
Frauen gewesen, die körperlich bezie- 
hungsweise geistig behindert waren. Der 
Angeklagte hatte sich im Prozess an 
seine früheren Patientinnen gewandt und 
für seine Taten entschuldigt: „Ich weiß 
nicht, was mich getrieben hat.“ Zu Pro- 
zessbeginn hatte der Arzt ein Geständnis 
abgelegt. Die zahlreichen Journalisten 
und Zuschauenden hatten den Gerichts- 
saal vor der Aussage des Angeklagten 
verlassen müssen. Die Vorwürfe gegen 
den Mann waren im November 2013 be- 
kannt geworden. Die Filmaufnahmen der 
Patientinnen hatten die Ermittler durch 
Zufall entdeckt. Sie durchsuchten die 
Wohnung des Arztes - und fanden neben 
80.000 Bildern und Videoaufnahmen von 
Kindern und Jugendlichen in eindeutigen 
Posen auch die Filme von den Patientin- 
nen. Der Arzt hatte die Bilder und Vide- 
os auf einem Downloadportal angeboten 
und getauscht (Osnabrücker Arzt zu Be- 
währungsstrafe verurteilt, www.ndr.de 
16.09.2015). 


VG Schleswig 


VSA scheitert gegen ULD 
mit Außerungsverbot 


Mit rechtskräftigem Beschluss vom 
25.08.2015 wies das Verwaltungsgericht 
(VG) Schleswig den Antrag des bayeri- 
schen Apothekenrechenzentrums VSA 
GmbH zurück, gegen das Unabhängige 
Landeszentrum für Datenschutz Schles- 
wig-Holstein (ULD) ein Ordnungsgeld 
zu verhängen für Äußerungen des da- 
maligen ULD-Leiters Thilo Weichert in 
der Zeitschrift „Datenschutz und Daten- 
sicherheit“ - DuD (Az. 8 D 3/15). Das 
Verfahren ist eines in einer Reihe von 
mehreren Prozessen, mit denen die VSA 
das ULD überzogen hat. 
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Hintergrund ist der Verkauf von an- 
geblich anonymisierten Rezeptdaten 
u. a. an die Pharmaindustrie durch die 
VSA. Das ULD hatte diese kommerziel- 
le Verwertung öffentlich als gewaltigen 
Datenschutzskandal bewertet. Die zu- 
ständige Aufsichtsbehörde, das Bayeri- 
sche Landesamt für Datenschutzaufsicht 
(BayLDA) erließ deshalb für den Zeit- 
raum bis 2010 zwei Bußgeldbescheide 
gegen die VSA und den Dienstleister 
pharmafact in Höhe von 40.000 und 
110.000 €. In Bezug auf die Praxis der 
VSA behauptet das BayLDA jedoch, 
dass durch eine Umstellung des Verfah- 
rens nun eine wirksame Anonymisie- 
rung vor dem Verkauf der Rezeptdaten 
erfolge. Dies wurde jedoch im Düssel- 
dorfer Kreis von einigen anderen Auf- 
sichtsbehörden anders bewertet, u. a. 
vom ULD. Dessen Leiter Thilo Weichert 
äußerste sich entsprechend auf Presse- 
anfragen hin öffentlich. Dies veranlasste 
die VSA dazu, vor dem VG Schleswig 
gegenüber dem ULD am 05.11.2013 
eine Untersagungsverfügung zu bewir- 
ken (abgedruckt unter ZD 2014, 102). 
Nachdem eine entsprechende Meldung 
des virtuellen Datenschutzbüros, dessen 
Geschäftsführung beim ULD liegt, die 
über den Vorgang berichtete, nicht recht- 
zeitig gelöscht wurde, erwirkte die VSA 
beim VG Schleswig mit Beschluss vom 
03.12.2013 ein Ordnungsgeld in Höhe 
von 1.000 € (abgedruckt in ZD 2014, 
100). Auf die Beschwerde des ULD 
hin wurde die Untersagungsverfügung 
des VG Schleswig mit Beschluss vom 
28.02.2014 durch das Oberverwal- 
tungsgericht (OVG) Schleswig-Hol- 
stein teilweise wieder aufgehoben bzw. 
modifiziert (abgedruckt in DuD 2014, 
716 mit Anm. Kauß). In dem gericht- 
lichen Verfahren ging es dem ULD 
darum, nachzuweisen, dass die VSA 
auch nach der Verfahrensänderung 
rechtswidrig pseudonyme Rezeptdaten 
veräußert. Die Gerichte befassten sich 
jedoch nicht mit dieser Datenschutzthe- 
matik und behandelten ausschließlich 
die Frage, ob und wie sich das ULD 
hierzu äußern durfte. Wenig förderlich 
bei diesem Verfahren war und ist, dass 
das BayLDA Auskunft über Details 
den nunmehr praktizierten Umgang der 
VSA mit den Rezeptdaten selbst gegen- 
über den anderen Aufsichtsbehörden 
bis heute verweigert. 


Die das Äußerungsrecht von Daten- 
schutzaufsichtsbehörden einschränken- 
den Entscheidungen des VG Schleswig 
und des OVG Schleswig-Holstein wa- 
ren Anlass für eine kritische Auseinan- 
dersetzung von Thilo Weichert in der 
Zeitschrift DuD. Diesen Aufsatz nahm 
die VSA zum Anlass, das ULD erneut 
vor den Kadi zu ziehen — diesmal ohne 
Erfolg. 

Im Ergebnis erfolgreich war — mit Un- 
terstützung des BayLDA - die VSA aber 
bei ihrem Versuch, die bisherige kom- 
merzielle Verwertung der Rezeptdaten 
fortzuführen und sich dadurch gegen- 
über anderen Apothekenrechenzentren, 
die ein valides Anonymisierungsverfah- 
ren durchführen, etwa das Norddeutsche 
Apothekenrechenzentrum (NARZ) in 
Bremen, einen Wettbewerbsvorteil zu 
verschaffen. Erfolgreich blieb die VSA 
weiterhin, ihr praktiziertes Verfahren ei- 
ner öffentlichen Kontrolle und Kritik zu 
entziehen. 

Zugleich war und ist die VSA insofern 
erfolgreich, dass sie mit der Vielzahl 
der Verfahren zu Äußerungen von Da- 
tenschutzaufsichtsbehörden ein neues 
wirksames Drohszenario aufbaute: Das 
Überziehen mit Prozessen wegen Äu- 
Berungen zum Datenschutzrecht bin- 
det viele der nur begrenzt verfügbaren 
Ressourcen der Aufsichtsbehörden und 
schreckt sie damit wirksam vor berech- 
tigten Datenschutz-Warnungen ab. Im 
Folgenden werden die wesentlichen 
Passagen des aktuellen Beschlusses des 
VG Schleswig vom 25.08.2015 doku- 
mentiert: 


VG Schleswig (Az. 8 D 3/15) 


Beschluss in der Vollstreckungssa- 
che der VSA GmbH - Vollstreckungs- 
gläubigerin (VG) 

Proz.-Bev.: Rechtsanwälte Hogan Lo- 
vells International LLP, ... Hamburg ... 
gegen das Unabhängige Landeszentrum 
für Datenschutz Schleswig-Holstein — 
Vollstreckungsschuldner (VS) 
Proz.-Bev.: Rechtsanwälte Dr. Kauß, ... 
Freiburg im Breisgau ... 
Streitgegenstand: Datenschutzrecht — 
Vollstreckung 

hat das Schleswig-Holsteinische Ver- 
waltungsgericht — 8. Kammer — am 
25.08.2015 beschlossen: 
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Der Antrag wird abgelehnt. Die Kosten 
des Verfahrens trägt die Vollstreckungs- 
gläubigerin (VG). 


Die VG - Antragstellerin im Verfah- 
ren des einstweiligen Rechtsschutzes 
— begehrt die Verurteilung des Vollstre- 
ckungsschuldners (VS) — Antragsgegner 
im Verfahren des einstweiligen Rechts- 
schutzes — zu einem Ordnungsgeld 
wegen Zuwiderhandlung gegen seine 
Verpflichtung aus einer einstweiligen 
Anordnung. 

Im einstweiligen Anordnungsverfah- 
ren der VG gegen den VS beschloss das 
Schleswig-Holsteinische Verwaltungs- 
gericht am 05.11.2013 - 8 B 50/13: 


„Dem Antragsgegner wird im Wege 
der einstweiligen Anordnung aufge- 
geben, es bei Vermeidung eines Ord- 
nungsgeldes von bis zu 250.000 € zu 
unterlassen, folgende Äußerungen in der 
Medienöffentlichkeit — insbesondere in 
der Presse (samt Onlineinhalten), Rund- 
funk und Fernsehen — sowie im Internet, 
wörtlich und/oder sinngemäß verbreiten 
zu lassen: 
die Antragstellerin sei an einem der 
größten Datenskandale der Nach- 
kriegszeit beteiligt, und/oder 
- die Antragstellerin gebe keine anony- 
misierten, sondern pseudonymisierte 
Daten heraus, und/oder 
die Antragstellerin handele unzuläs- 
sig, und/oder 
das Geschäftsmodell der Antragstelle- 
rin sei illegal, und/oder 
die von der Antragstellerin vorgenom- 
mene Verschlüsselung der Rezeptda- 
ten sei nicht ausreichend, und/oder 
- die Antragstellerin begehe einen 

Rechtsverstoß, und/oder 
- die von der Antragstellerin verschlüs- 
selten Datensätze seien eindeutig zu- 
ordenbar, und/oder 
eine Zuordnung der Daten zu Patien- 
ten sei von der Antragstellerin beab- 
sichtigt, und/oder 
- die Antragstellerin handele mit Berei- 

cherungsabsicht.“ 


Auf Beschwerde des Vollstreckungs- 
schuldners wurde der Beschluss des 
Schleswig-Holsteinischen Verwaltungs- 
gerichts vom 05.11.2013 -— 8 B 50/13 
vom Schleswig-Holsteinischen Ober- 
verwaltungsgericht mit Beschluss vom 
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28.02.2014 -— 4 MB 82/13 — wie folgt 
geändert: 

„Der Antrag wird hinsichtlich der 
beantragten Anordnung einer Unterlas- 
sung der Äußerungen, 

- die Antragstellerin gebe keine anony- 
misierten, sondern pseudonymisierte 
Daten heraus, und/oder 

die Antragstellerin handele unzuläs- 
sig, und/oder 

die von der Antragstellerin vorgenom- 
mene Verschlüsselung der Rezeptda- 
ten sei nicht ausreichend, und/oder 

- die Antragstellerin begehe einen 

Rechtsverstoß, und/oder 
- die von der Antragstellerin verschlüs- 

selten Datensätze seien eindeutig zu- 

ordenbar, 

mit der Maßgabe abgelehnt, dass der 
Antragsgegner zukünftig entsprechen- 
de Äußerungen als seine Auffassung zu 
kennzeichnen hat. Im Übrigen wird die 
Beschwerde zurückgewiesen.“ ... 


Die VG hat am 20.05.2015 die Ver- 
urteilung des VS zu einem Ordnungs- 
geld beantragt. Sie macht geltend, dass 
der VS durch fünf Äußerungen in dem 
Aufsatz von Herrn Thilo Weichert, „Das 
Äußerungsrecht der Datenschutzbehör- 
den (Teil 1)“, Datenschutz und Daten- 
sicherheit (DuD) 2015, S. 323 — S. 327 
sowie wortgleiche Ausführungen im Tä- 
tigkeitsgericht 2015 des ULD SH, S. 12f 
gegen die einstweilige Anordnung ver- 
stoßen habe. Für die Veröffentlichung 
in DuD 2015, S. 323 — S. 327 sei auch 
der VS verantwortlich. Aus dem Aufsatz 
gehe eindeutig hervor, dass sich Herr 
Weichert als Leiter und vertretungsbe- 
rechtigtes Organ des VS äußere. ... 


Der Antrag hat keinen Erfolg ... 


Der VS hat der einstweiligen Anord- 
nung jedoch nicht zuwider gehandelt. ... 


In Bezug auf den Aufsatz von Herrn 
Thilo Weichert in DuD 2015, S. 323 ff. 
scheitert eine Zuwiderhandlung des VS 
nicht bereits daran, dass die dort getä- 
tigte Äußerung des Autors Weichert 
dem VS nicht zuzurechnen sind. Nur 
eigenes Verschulden des Schuldners, 
bei juristischen Personen die Schuld der 
für sie handelnden Personen, rechtfer- 
tigt eine Verurteilung nach $ 890 ZPO 
(vgl. BVerfG, B. v. 25.10.1966 - 2 BvR 


506/63, Rn. 48 — zit. nach juris). Für die 
Zurechnung gilt $ 31 BGB, wonach es 
eine in Ausführung der dem Organwal- 
ter zustehenden Verrichtungen begange- 
nen Handlung bedarf (vgl. MüKo-Gru- 
ber, ZPO, 4. Aufl. 2012, $ 890 Rdnr. 22). 
Das Gesetz will mit dieser Formulierung 
ausdrücken, dass der Organwalter in 
amtlicher Eigenschaft und nicht ledig- 
lich als Privatperson tätig geworden 
sein muss (vgl. MüKo-Reuter, BGB, 6. 
Aufl. 2012, $ 31 Rdnr. 33). Zwischen 
Amtstätigkeit und Schädigung muss ein 
enger, objektiver Zusammenhang beste- 
hen (vgl. BGH, U. v. 30.10.1967 — VII 
ZR 82/65, NJW 1968, S. 391, 392; das 
BVerfG, U. v. 16.12.2014 -2 BvE 2/14, 
NVwZ 2015, S. 209 stellt für die Frage, 
wann ein Mitglied der Bundesregierung 
im politischen Meinungskampf dem 
Neutralitätsgebot unterworfen ist, da- 
rauf ab, ob das Regierungsmitglied für 
sein Handeln die Autorität des Amtes 
und die damit verbundenen Ressour- 
cen in spezifischer Weise in Anspruch 
nimmt). 

Herr Thilo Weichert hat nach Über- 
zeugung der Kammer die Ausführungen 
in DuD 2015, S. 323 ff. in amtlicher Ei- 
genschaft und nicht lediglich als Privat- 
person getätigt. Er wird in dem Beitrag 
unter Nennung seiner Amtsbezeichnung 
und seiner amtlichen Mailadresse bild- 
lich dargestellt. Herr Weichert nimmt in 
dem Beitrag zudem mehrfach ausdrück- 
lich auf sein Amt Bezug, und zwar zu- 
nächst unter Gliederungspunkt 1., wo es 
heißt: „Diese gegen den Autor als Leiter 
des Unabhängigen Landeszentrums für 
Datenschutz Schleswig-Holstein (ULD) 
und damit der der Datenschutzbehörde 
des Landes ergangene Entscheidungen 
sind symptomatisch für ein reduziertes 
rechtliches Verständnis der Funktion 
der Aufsichtsbehörden.“ Unter Glie- 
derungspunkt 2. heißt es weiter: „Dies 
veranlasste den Spiegel im August 2013, 
erneut zu berichten und den Leiter des 
ULD damit zu zitieren, ...“ Die weite- 
ren Formulierungen unter Gliederungs- 
punkt 2. lassen ebenfalls erkennen, dass 
dort nicht die persönliche Meinung 
des Herrn Thilo Weichert, sondern die 
Auffassung des VS („nach Ansicht des 
ULD“) wiedergegeben werden soll. 

Weder in dem Beitrag „Das Äuße- 
rungsrecht der Datenschutzbehörden 
(Teil 1), DuD 2015, S. 323 ff. noch in 
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seinem Tätigkeitsbericht 2015, S. 12 f 
verstößt der VS jedoch durch die VG 
beanstandeten Äußerungen gegen die 
einstweilige Anordnung. 

Die Äußerung, dass „es traurig wäre, 
wenn die Dienstleister des Vertrauens- 
berufs Apotheker erst durch Gerichts- 
prozesse zur Vertraulichkeit zu veranlas- 
sen wären“ in DuD 2015, S. 324 sowie 
im Tätigkeitsbericht 2015 des ULD SH, 
S. 12 stellt keine Zuwiderhandlung dar, 
da diese Äußerung dem Antragsgegner 
nicht ausdrücklich untersagt worden ist 
und sich diese auch nicht sinngemäß 
unter die zu unterlassenden Äußerungen 
fassen lässt. 

Auch mit der Äußerung, „es hande- 
le sich anscheinend um ein "lohnendes 
Geschäftsmodell” durch "illegale Nut- 
zung der Rezeptdaten’“ in DuD 2015, S. 
324 und im Tätigkeitsbericht 2015 des 
ULD SH, S. 12 verstößt der VS nicht 
gegen die einstweilige Anordnung. Über 
den Umfang, was nach dem Ausspruch 
der einstweiligen Anordnung verboten 
ist, ist im Verfahren nach $ 167 Abs. 1 
VwGO i.V.m. $ 890 ZPO zu entscheiden 
(vgl. Zöller/Stöber, ZPO, 28. Aufl. 2010, 
$ 890 Rdnr. 15). Dem bloßen Wortlaut 
nach ließe sich diese Äußerung sinn- 
gemäß zwar unter die zu unterlassende 
Äußerung „das Geschäftsmodell der 
Antragstellerin sei illegal“ fassen. Sie 
fällt aber — im Wege einer restriktiven 
Auslegung — zum einen deshalb nicht 
unter diese zu unterlassende Äußerung, 
weil es sich nicht um eine erneute Mei- 
nungskundgabe handelt, sondern eine 
Äußerung von Herrn Thilo Weichert aus 
dem Spiegel (August 2013) zitiert wird, 
was darin zum Ausdruck kommt, dass 
die Worte „lohnendes Geschäftsmodell“ 
sowie „illegale Nutzung der Rezeptda- 
ten“ in Anführungszeichen gesetzt wer- 
den. Zum anderen ist von Bedeutung, 
dass diese Äußerung in dem Beitrag 
deshalb wiedergegeben wird, da diese 
— neben anderen Äußerungen — Auslö- 
ser der Auseinandersetzung zwischen 
den Beteiligten im Jahr 2013/2014 war, 
welche schließlich zu den Entschei- 
dungen des Schleswig-Holsteinischen 
Verwaltungsgerichts vom 05.11.2013 — 
8 B50/13- sowie des Schleswig-Holstei- 
nischen Oberverwaltungsgerichts vom 
28.02.2014 — 4 MB 82/13 — geführt hat. 
Letztere werden auf S. 324 des Beitrages 
einer kritischen Betrachtung unterzogen. 
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Diese kritische Betrachtung, welche dem 
VS in einer freiheitlich demokratischen 
Grundordnung gestattet sein muss, wür- 
de ins Leere laufen, wenn ihm untersagt 
wäre, den eigentlichen Auslöser der ge- 
richtlichen Verfahren darzustellen. 

Die Äußerung, „es bestätigte, dass das 
ULD die nach seiner Ansicht rechtswid- 
rige Praxis der Datenverarbeitung von 
Abrechnungszentren unter namentlicher 
Nennung als illegal und rechtswidrig 
bezeichnen dürfe“ in DuD 2015, S. 324 
sowie die — nahezu wortgleiche — Äuße- 
rung „Ausdrücklich bestätigte das OVG, 
dass das ULD die nach seiner Ansicht 
rechtswidrige Praxis der Datenverar- 
beitung von Abrechnungszentren auch 
weiterhin als illegal und rechtswidrig 
bezeichnen dürfe, und dies sogar unter 
namentlicher Nennung“ stellen keine 
Zuwiderhandlungen gegen die einstwei- 
lige Anordnung dar. Die Verwendung 
des Wortes „illegal“ ist dem VS ebenso 
wenig untersagt wie der Gebrauch des 
Wortes „rechtswidrig“. Der VS darf be- 
haupten, dass die VG einen Rechtsver- 
stoß begehe, umgangssprachlich also il- 
legal handele, wenn er dies — wie vorlie- 
gend geschehen - als eigene Auffassung 
kennzeichnet. 

Mit den Äußerungen „dieser — nach 
Ansicht des ULD - sich täglich fortset- 
zende "zigmillionenfache Datenschutz- 
verstoß schädigt — nach Ansicht des 
ULD -“ in DuD 2015, S. 324 und „die- 
ser sich täglich fortsetzende "zigmillio- 
nenfache Datenschutzverstoß schädigt 
— nach Ansicht des ULD -“ im Tätig- 
keitsbericht 2015 des ULD SH, S. 13 
verstößt der VS ebenfalls nichts gegen 
die einstweilige Anordnung. Die Äu- 
Berungen entsprechen sinngemäß nicht 
den zu unterlassenden Äußerungen „das 
Geschäftsmodell der Antragstellerin sei 
illegal“ und „die Antragstellerin sei an 
einem der größten Datenskandale der 
Nachkriegszeit beteiligt“. Die Äußerun- 
gen lassen sich, da Datenschutzschutz- 
verstöße beanstandet werden, sinngemäß 
der Äußerung „die Antragstellerin bege- 
he einen Rechtsverstoß“ zuordnen. Die- 
se Äußerung ist dem VS gestattet, sofern 
er — wie vorliegend geschehen - diese als 
eigene Auffassung kennzeichnet. 

Mit der Äußerung, „damit war es nicht 
nur gerichtlich erfolgreich, sondern hat 
sich damit — auf dem Markt der Apothe- 
kenrechenzentren — einen Marktvorteil 


gegenüber Wettbewerbern gesichert, die 
rechtskonform agieren“ in DuD 2015, 
S. 324 — der Tätigkeitsbericht 2015 des 
ULD SH enthält diese Äußerung nicht 
—, verstößt der Vollstreckungsschuldner 
auch nicht gegen die einstweilige An- 
ordnung. Aus der Verwendung des Wor- 
tes „rechtskonform“ in Verbindung mit 
Wettbewerbern der VG ergibt sich zwar 
im Umkehrschluss, dass die VG nicht 
rechtskonform, mithin rechtswidrig agie- 
re. Die Äußerung lässt sich daher sinnge- 
mäß der Äußerung „die Antragstellerin 
begehe einen Rechtsverstoß“ zuordnen. 
Diese Äußerung ist dem VS gestattet, 
sofern er sie als eigene Auffassung kenn- 
zeichnet. Vor dem Wort „rechtskonform“ 
fehlt zwar der Zusatz „nach Ansicht des 
ULD“. Aus dem Zusammenhang wird 
jedoch hinreichend deutlich, dass es sich 
bei der geäußerten Kritik an der Über- 
mittlungspraxis von Rezeptdaten um die 
eigene Auffassung des VS handelt („vom 
ULD als unzulässig bewertete‘ im ers- 
ten Satz des Absatzes; im zweiten Satz 
findet sich zweifach der Zusatz „— nach 
Ansicht des ULD -“; im dritten Satz des 
Absatzes heißt es „Dass das ULD mit 
seiner Kritik“; im vierten Satz wird auf 
die „öffentlich geäußerte Kritik einer 
Datenschutzbehörde, hier des ULD,“ 
hingewiesen). Weiterhin lässt sich die 
beanstandete Äußerung nicht sinngemäß 
der zu unterlassenden Äußerung „die 
Antragstellerin handele mit Bereiche- 
rungsabsicht“ zuordnen. 


Cartoon 


ANGELA MERKEL UND 
SIGMAR GABRIEL HABEN 
GESAGT, DATENSCHUTZ 
VERTRAGE SICH NICHT 

MIT DEM GESCHÄFTS- 

MODELL „BIG DATA" 


IST SCHON KLAR, SO 
WIE VORHÄNGE- 
SCHLÖSSER DAS 

GESCHÄFTSMODELL 
„DIEBSTAHL" 
BEHINDERN... 
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BDSG-Kommentare 


(tw) Die DANA-Redaktion wurde 
darauf hingewiesen, dass uns in der 
Buchbesprechung des Werkes von Gola/ 
Schomerus in der DANA 2/2015 (S. 104 
f.) ein inhaltlicher Fehler unterlaufen 
ist. Anders als dargestellt, ist der Gola/ 
Schomerus nicht der älteste und einzige 
BDSG-Kommentar, bei dem eine perso- 
nelle Kontinuität bis zum heutigen Tag 
gewahrt worden ist. Ursprünglich hieß 
der Kommentar Ordemann/Schome- 
rus und Prof. Peter Gola ist erst später 
eingestiegen. Der Kommentar ist auch 
nicht der älteste. Die Aussagen zu Alter 
und Kontinuität treffen vielmehr noch 
mehr auf die als Loseblattkommentare 
herausgegebenen und seit 1977 bzw. 
1978 erscheinenden Schaffland/Wilt- 
fang und Bergmann/Möhrle/Herb zu. 
Der Rezensent bittet um Entschuldigung 
für diesen Fehler. 


Bergmann, Lutz/Möhrle, Roland/Herb, 
Armin, 

Datenschutzrecht 

Kommentar Bundesdatenschutzge- 
setz, Datenschutzgesetze der Länder 
und Kirchen, Bereichsspezifischer 
Datenschutz 

Richard Boorberg, Stand Juli 2015, 49. 
Ergänzungslieferung, Loseblatt, 3 Bän- 
de, ISBN 978-3-415-00616-4 


(tw) Für Rezensenten sind Loseblatt- 
sammlungen in vieler Hinsicht ein Pro- 
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blem: Rezensionen erlauben immer nur 
eine Momentaufnahme von einem Werk, 
das sich möglicherweise noch ändert, 
das nicht vollständig aktuell sein kann 
und das durch das Einsortieren der Er- 
gänzungslieferungen einen hohen Pfle- 
geaufwand verursacht. Dessen unge- 
achtet lohnen sich Besprechungen von 
solchen Werken erst recht, wenn sie ein 
Format erreicht haben, das über das ge- 
bundener Werke hinausgeht. Diese Aus- 
sage trifft für den Bergmann/Möhrle/ 
Herb (BMH) zu, der mit seinem erstma- 
ligen Erscheinen im Jahr 1977 eine fast 
einzigartige Tradition bei den Daten- 
schutzkommentaren und zugleich eine 
erstaunliche Aktualität vorweisen kann. 
Eine Darstellung lohnt auch, wenn der 
Erwerb des Werks Nutzen verspricht. 
Letzteres gilt für der BMH insbesonde- 
re für den Datenschutzpraktiker, der mit 
den unterschiedlichsten Datenschutzfra- 
gen konfrontiert ist und möglichst alles 
aus einer Hand haben möchte. Der BMH 
ist von seiner Grundanlage eine Fund- 
grube, da er nicht nur das BDSG kom- 
mentiert, sondern exemplarisch auch ein 
Landesdatenschutzgesetz (Baden-Würt- 
temberg), sämtliche anderen Landesda- 
tenschutzgesetze dokumentiert, zudem 
ausführlich das Sozialdatenschutzrecht 
und das Melderecht — einschließlich 
des neuen Bundesmeldegesetzes — do- 
kumentiert und teilweise erläutert. Ein 
Teil VI mit der Überschrift „Multime- 
dia und Datenschutz“ ist zwar bzgl. der 
Vorschriften weitgehend abgedeckt, 
dagegen, entgegen der gewaltigen prak- 
tischen Relevanz, nur sehr spärlich er- 
läutert — wohl aber mit dem sonst eher 
vernachlässigten Rundfunkstaatsver- 
trag. Letzteres ist wohl dem Umstand 
zuzuschreiben, dass Armin Herb seit 
vielen Jahren erst beim SWF und nun 
beim Südwestrundfunk (SWR) auch die 
Funktion des Rundfunkdatenschutzbe- 
auftragten wahrnimmt. Äußerst materi- 
alreich sind auch die Darstellungen zu 
den verschiedenen Wirtschaftsbranchen 
im $ 28 BDSG. Dagegen ist die Bearbei- 
tung zur Internetdatenverarbeitung bei 


8 29 BDSG nicht ergiebig. 

Die Praktikerorientierung kommt auch 
dadurch zum Ausdruck, dass viel nützli- 
ches Material in die Sammlung mit auf- 
genommen ist. Dazu gehören Tabellen, 
Übersichten, Kataloge, Prüfschemata 
und Muster und letztlich ein äußerst in- 
haltsreiches Stichwortverzeichnis, das 
aber — das Los der Loseblattsammlung 
— auf dem Stand 2011/2012 ist. Dies 
hindert aber nicht die Aktualität der 
späteren Lieferungen, die selbst schon 
die Organisationsreform der Dienst- 
stelle der BfDI mit umfassen. Die Dar- 
stellungen jüngeren Datums spiegeln 
den jeweiligen Diskussionsstand zum 
Thema einschließlich Rechtsprechung 
und aktuelle Literatur gut dar. So greift 
der BMH etwa - anders als der „Si- 
mitis“ — die moderne Diskussion über 
die Schutzziele des Datenschutzes auf, 
und er setzt sich kritisch mit aktuellen 
Themen wie Passenger Name Record 
oder TK-Vorratsdatenspeicherung aus- 
einander. Dabei vertritt der Kommentar 
erfeulich fortschrittliche Positionen mit 
reichhaltigen Hinweisen und Argumen- 
ten. Kritisch zu bewerten sind Passagen, 
in denen es um die Privilegierung von 
Rundfunkanstalten oder von Rechtsan- 
wälten geht, etwa wenn die Ansicht ver- 
treten wird, $ 43a BRAO verdränge die 
Anwendbarkeit des BDSG. 

Während damit die drei Bände des 
BMH, die im Bücherregal gute 20 Zenti- 
meter füllen, für den Praktiker in vielen 
Bereichen, insbesondere die öffentliche 
Verwaltung, die klassische Privatwirt- 
schaft und den Rundfunk, als Quelle 
schon alleine oft genügen dürften, kann 
dies für den Forschenden im Bereich 
des Datenschutzes nicht gelten. Der 
Kommentar bleibt in der juristischen 
Erörterung verhaftet, die technisch zwar 
kompetent, aber nicht ausführlich und 
nicht tiefergehend ist. Für die wissen- 
schaftliche Auseinandersetzung liefert 
der Kommentar immer wieder interes- 
sante, nicht abgeschriebene Positionen. 
Auch hier profitieren die Nutzenden von 
dem Umstand, dass die Autoren seit Jah- 
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ren an den aktuellen Diskussionen haut- 
nah beteiligt sind. Vollständigkeit kann 
nicht erwartet und sollte wohl auch nicht 
geliefert werden. 


J—— 
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(tw) Angesichts der umfangreichen Li- 
teratur, die es auf dem deutschen Markt 
zum Datenschutz gibt, ist es schon ein 
gewagtes Unterfangen, ein Buch allge- 
mein über die Risiken der personenbe- 
zogenen Datenverarbeitung zu verfassen. 
Dies gilt auch und erst recht, wenn der 
Autor den Anspruch einer wissenschaftli- 
chen Arbeit, hier einer Doktorarbeit, hat. 
Man sollte meinen, dass zu den „Grund- 
lagen des Datenschutzrechts“ schon alles 
geschrieben wurde. Um so verblüffender 
ist es, dass ein solches Buch nicht nur 
geschrieben, sondern auch noch von der 
Gesellschaft für Datenschutz und Da- 
tensicherheit mit ihrem GDD-Wissen- 
schaftspreis 2014 prämiert wurde. Grund 
genug, sich das Buch genauer anzuschau- 
en. 

Ein vertiefter Blick in dieses Werk 
zeigt, dass zwar zu den Grundlagen des 
Datenschutzes schon praktisch alles ge- 
sagt wurde. Insofern konnte aber bis 
heute selbst in Deutschland kein Kon- 
sens hergestellt werden. Es ist eine Bin- 
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senweisheit, dass ein Konsens erst recht 
in Europa und noch weiter transatlan- 
tisch und global aussteht. Vor diesem 
Hintergrund sollte dieses Buch gelesen 
werden, auch wenn der Fokus die deut- 
sche gesetzgeberische, judizierende und 
wissenschaftliche Debatte ist, wohl aber 
mit Ausflügen in die europäische Recht- 
sprechung und in die internationale und 
europäische Normsetzung. Tatsächlich 
geht der Konsens in Europa über die 
„Grundlagen“ schon sehr weit, doch gibt 
es da zum einen den Streit Europas mit 
der herrschenden Meinung in den USA 
und zum anderen den Versuch einer Min- 
derheit in Europa, dem Datenschutz auch 
hierzulande ein geringeres Gepräge zu 
verpassen. 

Diese Versuche können politisch wie 
auch „wissenschaftlich“ kurz dadurch 
auf den Punkt gebracht werden, dass 
die Privatwirtschaft von den Fesseln des 
Gesetzesvorbehalts befreit werden soll. 
Die Firmen wollen sich bei ihrer Verar- 
beitung personenbezogener Daten von 
Kunden und Arbeitnehmern nicht immer 
mit dem Datenschutz herumschlagen 
müssen. Diese emotionale Belastung der 
Wirtschaft dürfte sich angesichts des ge- 
waltigen Vollzugsdefizits zwar im Rah- 
men halten. Doch sind Gerichtsentschei- 
dungen wie aktuell die des EuGH zur 
Safe Harbor schon geeignet, eine gewisse 
Verunsicherung zu produzieren. Tatsäch- 
lich muss dies die Motivation des Autors 
gewesen sein, diese Arbeit zu verfassen, 
auch wenn er dies so nicht explizit for- 
muliert. 

Auch wenn er Privatunternehmen 
hinsichtlich des Datenschutzes keine 
Sicherheit geben kann, so scheint es ihm 
zumindest ein wenig zu gelingen, die 
„herrschende Meinung“ zu verunsichern. 
Diese Promotion ist derzeit wohl das 
Ausführlichste und Reflektierteste, was 
es im deutschen Schrifttum zur Abschaf- 
fung des datenschutzrechtlichen Verbots 
mit Erlaubnisvorbehalt gibt. Dabei for- 
muliert der Autor dies — in klarer Er- 
kenntnis der gehärteten Verfassungs- und 
Grundrechsrechtsprechung — gar nicht 
als sein vorrangiges Anliegen, sondern 
allenfalls als eine Anregung. Es wird ein 
„pragmatischer Vorschlag zur stärkeren 
Ausrichtung und Ausdifferenzierung der 
rechtswissenschaftlichen Bemühungen 
auf konkrete Verarbeitungsfolgen“ unter- 
breitet, der aber „durchaus“ eine „koper- 


nikanische Wende“ im Datenschutzrecht 
zu vollziehen möglich machen würde 
(S. 320). Während Kopernikus sein 
Wende durch die Beobachtung der Rea- 
lität erreichte, verbleibt der Autor in sei- 
nem wissenschaftlichen Elfenbeinturm 
und vertritt dabei ein rückwärtsgewand- 
tes Grundrechtsverständnis ohne realisti- 
schen Blick für die Gegenwart und Zu- 
kunft der Digitalisierung. 

Vorneweg — bei aller folgenden Kri- 
tik — einige Komplimente an die Arbeit: 
Sie ist gut und verständlich geschrieben, 
wenngleich so manche verwendete Ter- 
minologie befremdet, etwa, wenn von 
„Informationspermanenz“ (insbes. S. 299 
ff.) oder „Informationsemergenz“ (S. 304 
f.) die Rede ist. Die Verwendung solcher 
Wortmonster, die wohl mit „Langlebig- 
keit von Daten“ und mit „Analysepoten- 
zial digitaler Datenverarbeitung“ über- 
setzt werden können, ist sicherlich nicht 
der Popularisierung der letztlich vertre- 
tenen Thesen förderlich. Positiv zu be- 
werten ist die nicht nur fleißige, sondern 
auch intellektuell redliche Beschreibung 
und Analyse von unterschiedlichsten in- 
ternationalen, europäischen und nationa- 
len Datenschutzinstrumenten, von Recht- 
sprechung und Literaturmeinungen. Hier 
liegt eine große Stärke: Mit einer über- 
zeugenden Akribie werden Normen, Ur- 
teile und wissenschaftliche Beiträge auf 
ihre Risikoorientierung hin untersucht. 
Insofern haben die Ausführungen Infor- 
mationswert, sind aber nicht gerade neu. 
Alle Topoi finden sich in unserer Daten- 
schutzliteratur und wurden konsistent 
und umfassend vom Bundesverfassungs- 
gericht entwickelt und ausdifferenziert. 
Von den obersten europäischen Gerich- 
ten (EGMR und EuGH) wurden diese, 
wenn auch teilweise erst fragmentarisch, 
rezipiert. 

Hinsichtlich der adressierten Risiken 
untersucht werden von internationalen 
Privatheits- und Vertraulichkeitsgaran- 
tien über das europäische Primär- und 
Sekundärrecht, die Rechtsprechung des 
BVerfG bis hin zu Literaturstimmen fast 
alle relevanten Äußerungen zu den ma- 
teriellen Schutzzielen des Datenschutzes. 
Erhellend und dem praxisorientierten 
Datenschützern nicht ansatzweise prä- 
sent dürften insbesondere die informativ 
präsentierten Schutzkonzeptionen in der 
Literatur, beginnend mit Walter Schmidt 
(1974) und Otto Mallmann (1977) über 
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die Privatrechtsprotagonisten Karl-Heinz 
Ladeur und Wolfgang Kilian bis hin zu 
aktuelleren Ansätzen von Marion Albers 
und Gabriele Britz sein. 

Der Autor gibt sich viel Mühe, detail- 
liert die individuellen und überindividuel- 
len, also gesellschaftlichen, Schutzobjek- 
te herauszuarbeiten. In der Zusammen- 
schau schafft er es, die unterschiedlichen 
Zielsetzungen zu benennen: Schutz vor 
Publizitätsschäden, von Schamgefühlen, 
vor enttäuschten Vertraulichkeitserwar- 
tungen, Korrespondenz- und Wohnungs- 
schutz, Integritäts- und Identitätsschutz, 
Schutz vor Profiling und Fremdbestim- 
mung, Kernbereichsschutz, Verhinde- 
rung von Diskriminierung, Stigmati- 
sierung und Verhaltenslenkung... Auf 
gesellschaftlicher Ebene werden als Ri- 
siken detektiert Informationsübermacht, 
Konformitätsdruck, Handelshindernisse. 

So rechtswissenschaftlich qualifiziert 
die dogmatischen Ziselierungen sind, 
so ignorieren diese die aktuelle bei der 
Technik ansetzende Schutzzieldiskussi- 
on, die mit den Begriffen Verfügbarkeit, 
Integrität, Vertraulichkeit, Transparenz, 
Intervenierbarkeit und Nichtverkettbar- 
keit arbeitet. Diese Schutzziele rechtlich 
zu vertiefen, wäre wohl eine Doktorar- 
beit wert. 

Erschreckend ist die Realitätssicht 
des Autors. Zu Beginn seiner Arbeit er- 
dreistet sich der Autor, die Analysen 
eines Wilhelm Steinmüller in „Fortfüh- 
rung des Klassenkampfes zur Herstel- 
lung einer klassen- und autoritätslosen 
Gesellschaft“ als „postmarxistisch“ und 
„ideologisch geprägt“ abzutun (S. 10), 
ohne das zweifellos nicht leicht zu er- 
schließende Hauptwerk von Steinmüller 
„Informationstechnologie und Gesell- 
schaft — Einführung in die Angewandte 
Informatik“ (Darmstadt 1993) überhaupt 
zu erwähnen. Am Ende entpuppt sich der 
Autor selbst als äußerst ideologisch pro- 
grammiert, wenn er unvermittelt meint, 
„die aus dem US-amerikanischen Recht 
stammende Figur der Vertraulichkeits- 
erwartung (sei) ein brauchbarer Ansatz“ 
(S. 316). So als traute er sich aber seiner 
eigenen Chuzpe nicht, beschreibt er kurz 
und knapp in seinem „Ausblick“ in ei- 
nem Rundumschlag von Michel Foucault 
und Jeremy Bentham bis hin zu den „in 
ihrer Tragweite noch nicht absehbaren 
Enthüllungen Edward Snowdens“ und 
der dadurch erkennbaren „Verschmel- 
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zung von Staat und Markt“ zu einem 
„Informationsstaat“, weshalb er mit sei- 
nem vorangegangenen auf 300 Seiten 
beschriebenen kleingerechneten Daten- 
schutz-Einzelschutzzielen doch etwas zu 
kurz springt (S. 317 £.). 

Drackert meint, „bei der Verteue- 
rung oder dem Nichtzustandekommen 
von Verträgen (handele) es sich nicht 
um ein datenverarbeitungsrechtliches 
Risiko, sondern um ein Lebensrisiko“ 
(S. 314). Was er damit meint, ist offen- 
sichtlich sehr analog, etwa, wenn er au- 
tomatisieerten Scoringverfahren (erst?) 
dann Eingriffscharakter zuspricht, wenn 
damit die ,„Todeswahrscheinlichkeit 
auf Intensivstationen“ bestimmt wird 
(S. 308). Informationelle Fremdbestim- 
mung beginnt für ihn (erst?) etwa bei 
„Erpressungen mit belastbarem Foto- 
material“ (S. 310). Auch wenn er eher 
zustimmend Kilian zitiert (S. 275), so 
hat er offensichtlich dessen Grundan- 
satz nicht verstanden, dass gerade per- 
sonenbezogene Datenverarbeitung im 
zivilrechtlichen Verständnis einen ei- 
gentumsähnlichen Eingriff darstellt, der, 
wie Eingriffe in das Eigentum, eines 
umfassenden gesetzlichen Schutzes be- 
darf. Darum geht es allen Gegnern des 
Grundrechts auf informationelle Selbst- 
bestimmung: Sie wollen ungestört im 
kommerziellen Bereich zielgruppenspe- 
zifisch vorgehen und hierfür Profiling, 
Targeting und Marketing praktizieren. 
Für derartige „normale Marktprozesse“, 
so Drackert fälschlich, bei denen es um 
nichts anderes geht, als die „Konsum- 
wünsche der Verbraucher“ zu erkennen, 
könne man umfassend Art. 12, und 14 
GG ins Feld führen. Dies trifft zu einem 
nicht zu, zum anderen ist zu fragen: Und 
wo bleibt dann der individuelle Ge- 
gengrund Datenschutz (S. 313)? Dass 
US-IT-Unternehmen mit „normalen 
Marktprozessen“ unter Missachtung des 
etablierten Datenschutzes "zig Milliar- 
den Dollar anhäufen und nicht nur indi- 
viduelle, sondern ganze Gesellschaften 
massiv beeinträchtigende Fremdbestim- 
mung betreiben, mag zutreffen, soll aber 
rechtlich irrelevant sein? 

Moderne digitale Grundrechte sind an- 
scheinend nicht nur für Angela Merkel 
„Neuland“. Umfassend anerkannt sind 
sie — siehe oben — noch nicht. Dass diese 
digitalen Grundrechte unserer Informa- 
tionsgesellschaft sich nicht mit dem Ri- 


siko- und Schutzzielkonzept der Indust- 
riegesellschaft decken können, sollte sich 
von selbst verstehen. Richtig ist, dass eine 
Dissertation, die die Risiko- und Schutz- 
zielrichtungen des „Grundrechts auf in- 
formationelle Selbstbestimmung“ und 
dessen Verzweigungen zu den analogen 
und den anderen digitalen Grundrechten 
aufzeigt, noch geschrieben werden muss. 

Der Ansatz Drackerts erklärt sich mög- 
licherweise ein wenig damit, dass er die 
Arbeit in einem Strafrechtsinstitut ver- 
fasste. Seine berechtigte Kritik an der 
„überbordenden strafrechtlichen Recht- 
setzung“ und am „überkommenen nati- 
onalen Polizeirecht“ (S. 318 f.) kann er 
aber auf den Datenschutz nicht übertra- 
gen. Datenschutzrecht ist nicht „ultima 
ratio“ und kann es auch nicht sein, son- 
dern ist vielmehr gestaltungsbedürftiges 
„Informations(verkehrs)recht“. 

Die Arbeit liefert nützliches Material, 
leider aber nicht die richtigen dogmati- 
schen und rechtspolitischen Antworten. 
Richtig stellt der Autor fest, dass es bis- 
her nur wenige sozial-psychologischen 
Studien für die zentrale Konformitäts- 
these des BVerfG gibt. Hier könnte die 
Forschung zweifellos weitere empirische 
Erkenntnisse liefern. Dass diese These 
zutrifft, ist aber nicht nur für Pädagogen 
und Psychologen, sondern auch insbe- 
sondere für (Sicherheits-) Politiker ein 
Allgemeinplatz. 

Jenseits aller dogmatischen Überle- 
gungen überzeugt Drackert auch nicht 
praktisch: Er bleibt, wie alle Protagonis- 
ten der Abschaffung des Gesetzesvorbe- 
haltes im Bereich der Wirtschaft, die Ant- 
wort schuldig, wie dies gesetzestechnisch 
— abgesehen von dem wenig motivieren- 
den Hinheis auf die USA als Vorbild — 
umgesetzt werden sollte. Es sind gerade 
die USA, die mit ihrem Schutz von „In- 
formation Privacy“ an Inkonsistenz und 
föderaler Zersplittertheit kaum zu über- 
bieten sind. Dagegen ist das europäische 
Konzept der Güter- und Interessenabwä- 
gung, das nun mal nicht ohne Gesetzes- 
vorbehalt funktionieren kann, geradezu 
komplexitätsfrei. Auch was die prakti- 
sche Umsetzung — mit Freiraum lassen- 
den unbestimmten Rechtsbegriffen — an- 
geht, ist Europa überlegen, wenn tatsäch- 
lich das Anliegen der Grundrechtsschutz 
ist. An der Grundrechtsorientierung der 
von Drackert analysierten Risiken fehlt 
es. Schade! 
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Große Qualition: 


SARA ESSEN TTESSEIEISITÄLHAITIT 
„Datenhehlerei“ ermöglicht Anti-Whistleblower-Gesetz 
Unklare Begriffsdefinitionen bei IT-Sicherheitsgesetz 
Infragestellung des Prinzips der Datensparsamkeit 
NH SCEALTELISSHET Le LU HA 
Duldung von Geheimverhandlungen bei TTIP 


